CISA KEV: BeyondTrust a Fortinet pod útoky

Do katalogu CISA KEV přibyly dvě zneužívané chyby umožňující manipulaci se soubory na zařízeních pro vzdálenou podporu a správu infrastruktury. U BeyondTrust jde o obejití ověřování původu zpráv, zatímco chyba Fortinetu vyžaduje přihlášeného správce s právy zápisu.

CVE-2026-102764 v BeyondTrust Remote Support má podle výrobce skóre CVSS 4.0 9,3. Vnitřní komponenty dostatečně neověřují původ přijímaných zpráv, což může vzdálenému útočníkovi bez přihlášení umožnit provádět souborové operace na zařízení. Zasaženy jsou verze do 26.2.3 včetně, pokud nemají příslušnou záplatu. CISA tuto chybu zařadila do KEV 16. října 2026.

Oprava má označení BT26-05-RS a je určena pro verze Remote Support 24.3.1 až 26.2.3. Starší instalace musí nejprve přejít na novější verzi, na kterou lze záplatu nasadit. Provozovatelé vlastních instancí mají ověřit její skutečnou instalaci; pokud nemají zapnuté automatické aktualizace, musí ji aplikovat ručně. BeyondTrust uvádí, že všechny instance Remote Support provozované jako SaaS byly opravené k 9. říjnu. Samotné číslo verze 26.2.3 tedy bez kontroly záplaty nestačí k potvrzení nápravy.

Výrobce v aktualizaci z 16. října popsal dva známé zasažené zákazníky, jednoho ve vlastním hostingu a jednoho v SaaS. Pozorované útoky proběhly 29. srpna, tedy před zveřejněním chyby. Útočníci nasadili webshell, získali administrátorskou kontrolu, přistupovali k uloženým přihlašovacím údajům a mazali stopy. BeyondTrust se střední až vysokou mírou jistoty spojuje aktivitu se špionážním aktérem ARMORY CASTLE, známým také jako UNC5221 a spojovaným s Čínou. Nejde o potvrzení původu každého případného útoku na tuto chybu.

Kvůli společnému kódu vydal BeyondTrust preventivní záplatu také pro Privileged Remote Access a doporučuje ji provozovatelům vlastních instalací. Současně uvádí, že v tomto produktu při interním testování nenašel způsob zneužití; potvrzeně zranitelný je Remote Support. Při podezření na napadení doporučuje výrobce uchovat obraz zařízení před obnovou, vyhodnotit záznamy uložené mimo zařízení a vyměnit přihlašovací údaje, které zařízení uchovávalo nebo zprostředkovávalo. Lokální záznamy mohou být útočníkem smazané či pozměněné.

CVE-2025-61624 se týká interpretu příkazové řádky ve FortiOS, FortiPAM, FortiProxy a FortiSwitchManager. Přihlášený útočník s administrátorským profilem a alespoň oprávněními pro čtení a zápis může pomocí upravených argumentů existujících příkazů překročit povolený adresář a zapisovat nebo mazat libovolné soubory. Nejde o vstup do zařízení bez účtu: zneužití vyžaduje již získaná vysoká oprávnění. Bezpečnostní bulletin Fortinetu uvádí základní skóre CVSS v3 6,0 a časové skóre 5,4.

Opravené FortiOS je 7.6.5 nebo 7.4.10 a novější v příslušné větvi. U FortiProxy jde o 7.6.5 nebo 7.4.12, u FortiPAM o 1.7.1; řada FortiPAM 1.8 podle výrobce zasažená není. FortiSwitchManager vyžaduje 7.2.8 nebo 7.0.7. Pro starší zasažené větve FortiOS, FortiProxy a FortiPAM výrobce požaduje přechod na opravené vydání, nikoli setrvání v původní řadě. Konkrétní postup povýšení je třeba zvolit podle podporované aktualizační cesty daného zařízení.

Fortinet zveřejnil oznámení už 14. dubna 2026 a nyní chybu označuje jako zneužívanou; CISA ji zařadila do KEV 16. října. Novým důvodem k prioritní kontrole je doložené zneužívání, nikoli právě vydaná první oprava. Vedle aktualizace je proto vhodné prověřit, kdo má přístup k příkazové řádce a zda správní účty nevykazují neobvyklou aktivitu. Nižší skóre závažnosti ani požadavek na administrátorská práva nejsou důvodem tuto chybu při kontrole vynechat.