CVE-2025-25249 被利用投放PivotC2 RAT

资讯专家

漏洞概况
Fortinet 产品中的未认证远程代码执行（RCE）漏洞 CVE-2025-25249 正被用于攻击。该漏洞 CVSS 评分为 7.4，属于堆缓冲区溢出，影响 FortiOS 和 FortiSwitchManager。Fortinet 公告称，远程未认证攻击者可能通过特制请求执行任意代码或命令。相关补丁已于 2026 年 1 月发布。

攻击活动
SOCRadar 警告称，威胁行为者利用该漏洞在易受攻击设备上部署 Node.js RAT PivotC2。PivotC2 是面向 FortiGate 的后渗透工具/后门，提供交互式 shell、流量隧道、网络扫描和配置收集能力。SOCRadar 认为，PivotC2 可能借助 AI 开发，相关攻击至少从 2026 年 7 月开始出现。

影响范围
攻击者针对超过 30,000 个 IP 地址，导致 178 台设备被利用并感染 PivotC2。攻击主要针对美国实体，至少两起入侵造成数据外泄。SOCRadar 判断攻击可能来自俄语网络犯罪团伙。

处置信息
CISA 周三将 CVE-2025-25249 纳入已知被利用漏洞（KEV）目录，要求联邦机构在三天内完成修补，符合 BOD 26-04 要求。Fortinet 已在 FortiOS 7.6.4、7.4.9、7.2.12、7.0.18 以及 FortiSwitchManager 7.2.7、7.0.6 中提供补丁。建议所有组织升级到这些或更新版本。