Die Schwachstelle CVE-2025-25249 betrifft FortiOS und FortiSwitchManager und wurde bereits im Januar 2026 behoben. Fortinet beschreibt sie als Heap-basierten Pufferüberlauf mit einem CVSS-Wert von 7,4. In der Sicherheitsmitteilung des Herstellers heißt es, die Lücke könne einem entfernten, nicht authentifizierten Angreifer erlauben, über besonders präparierte Anfragen beliebigen Code oder beliebige Befehle auszuführen.
Dass die Lücke nicht länger nur theoretisch relevant ist, machte SOCRadar in dieser Woche publik. Angreifer nutzen den Fehler demnach aus, um den Fernzugriffstrojaner PivotC2 auf verwundbaren Geräten zu installieren. Das in Node.js geschriebene Werkzeug ist auf die Phase nach der eigentlichen Ausnutzung von FortiGate-Systemen ausgelegt.
Die Hintertür bietet den Angreifern interaktiven Shell-Zugriff, das Tunneln von Netzwerkverkehr, Netzwerk-Scans sowie das Einsammeln von Konfigurationsdaten. Damit eignet sie sich sowohl zum dauerhaften Verbleib auf dem kompromittierten Gerät als auch zur weiteren Bewegung im angeschlossenen Netz.
Bemerkenswert ist die Einschätzung von SOCRadar zur Entstehung des Schadprogramms: Die Analysten halten es für wahrscheinlich, dass PivotC2 mit Hilfe künstlicher Intelligenz entwickelt wurde. Im Einsatz sei die Software mindestens seit Juli 2026.
Zum Umfang der Kampagne nennt SOCRadar konkrete Zahlen: „Die Angreifer nahmen mehr als 30.000 IP-Adressen ins Visier, was zur Ausnutzung und Infektion von 178 Geräten mit PivotC2 führte.“ Die Angriffe richteten sich vor allem gegen Organisationen in den USA. Bei mindestens zwei Einbrüchen kam es dort zum Abfluss von Daten. Als Urheber vermutet das Sicherheitsunternehmen einen russischsprachigen cyberkriminellen Akteur.
Die US-Cybersicherheitsbehörde CISA reagierte am Mittwoch und nahm CVE-2025-25249 in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) auf. Bundesbehörden müssen die Lücke gemäß den Vorgaben der Direktive BOD 26-04 binnen drei Tagen schließen – eine ungewöhnlich kurze Frist.
Korrigiert wurde der Fehler in FortiOS 7.6.4, 7.4.9, 7.2.12 und 7.0.18 sowie in FortiSwitchManager 7.2.7 und 7.0.6. Allen Organisationen wird empfohlen, auf diese oder neuere Versionen zu aktualisieren.