در ماه‌های اخیر، محصولات Fortinet به‌عنوان یکی از پرکاربردترین راهکارهای امنیتی در لبه شبکه، هدف موجی از بهره‌برداری‌های فعال (Active Exploitation) قرار گرفته‌اند. گزارش‌های رسمی و تحلیل‌های مستقل نشان می‌دهد که مهاجمان با سوءاستفاده از آسیب‌پذیری‌هایی در FortiOS، FortiGate SSL VPN، FortiWeb و FortiProxy موفق به دور زدن مکانیزم‌های احراز هویت، اجرای دستورات غیرمجاز و ایجاد دسترسی سطح بالا شده‌اند. نکته نگران‌کننده اینجاست که بخشی از این حملات نه بر پایه Zero-Day، بلکه بر اساس ضعف‌های شناخته‌شده و Patch-نشده انجام می‌شود، مسأله‌ای که بار دیگر اهمیت Patch Management، Hardening و مانیتورینگ مستمر در تجهیزات Perimeter را برجسته می‌کند.

بر اساس Advisoryهای رسمی Fortinet و گزارش منابع معتبر امنیتی، چندین CVE کلیدی در این موج حملات نقش محوری داشته‌اند. از جمله CVE-2020-12812 که یک نقص منطقی در فرآیند احراز هویت FortiOS SSL VPN محسوب می‌شود و به مهاجم اجازه می‌دهد در سناریوهای خاص، مکانیزم احراز هویت دو مرحله‌ای (2FA) را دور بزند. همچنین آسیب‌پذیری‌های بحرانی شناسایی‌شده در FortiWeb مانند CVE-2025-64446 و CVE-2025-58034 امکان ایجاد حساب مدیریتی غیرمجاز، اجرای دستورات از راه دور و تغییر پیکربندی‌های امنیتی را فراهم می‌کنند. در کنار این موارد، گزارش‌هایی از سوءاستفاده فعال از آسیب‌پذیری‌های مرتبط با FortiOS و FortiProxy نیز منتشر شده است که می‌توانند منجر به دسترسی غیرمجاز، حرکت جانبی در شبکه و تسلط بر لایه Perimeter شوند.

تمرکز اصلی این موج حملات بر روی:

FortiOS / FortiGate SSL VPN

FortiWeb (WAF)

FortiProxy گزارش شده است.

سطح حمله (Attack Surface) در محصولات Fortinet

محصولات Fortinet معمولاً در لبه شبکه (Network Edge) قرار دارند. این یعنی:

✔ دسترسی مستقیم از اینترنت

✔ نقش حیاتی در Authentication و Access Control

✔ نقطه شروع مناسب برای Initial Access  در Kill Chain

به همین دلیل، هر آسیب‌پذیری در این لایه می‌تواند منجر بهBypass  مکانیزم‌های امنیتی، دسترسی غیرمجاز سطح بالا وPivot به شبکه داخلی شود.

تحلیل فنی آسیب‌پذیری‌های در حال Exploit

1️  CVE-2020-12812 — Bypass احراز هویت دو مرحله‌ای در FortiOS SSL VPN

نوع آسیب‌پذیری:
Authentication Logic Flaw

شرح فنی:
در برخی سناریوهای پیکربندی SSL VPN که از LDAP/Radius + 2FA استفاده می‌کنند، اختلاف در Case Sensitivity نام کاربری (Uppercase/Lowercase) باعث می‌شود مکانیزم بررسی 2FA به‌درستی اعمال نشود.

نتیجه:

✔ احراز هویت بدون نیاز به عامل دوم

✔ دسترسی مستقیم به VPN با نام کاربری معتبر

چرا هنوز خطرناک است؟
با وجود قدیمی بودن CVE، تعداد زیادی FortiGate:

✔ آپدیت نشده‌اند

✔ یا بعد از آپدیت، تنظیمات آسیب‌پذیر را حفظ کرده‌اند

2️  آسیب‌پذیری‌های بحرانی FortiWeb — RCE / Privilege Escalation

بر اساس Advisoryها، چندین آسیب‌پذیری در FortiWeb شناسایی شده‌اند که امکان موارد زیر را فراهم می‌کنند:

✔ Remote Code Execution

✔ ایجاد حساب Admin غیرمجاز

✔ دور زدن مکانیزم‌های Access Control

بردار حمله معمول:

1. ارسال Request دستکاری‌شده به Interface مدیریتی
2. سوءاستفاده از ضعف Validation در Input
3. اجرای Command یا تغییر پیکربندی

پیامد:
کنترل کامل WAF و در نتیجه، دسترسی به:

✔ ترافیک وب

Session ✔ها

Backend Application ✔ها

3️  FortiProxy / FortiOS  — دسترسی غیرمجاز و حرکت جانبی

گزارش‌ها نشان می‌دهد که مهاجمان پس از دسترسی اولیه:

Credential ✔ها را Dump می‌کنند

✔ از FortiProxy به‌عنوان Pivot Point استفاده می‌کنند

✔ به سایر Segmentهای شبکه نفوذ می‌کنند

این مرحله معمولاً با Credential Reuse، سوءاستفاده از Trust داخلی و ضعف در Network Segmentation همراه است.

زنجیره حمله (Attack Chain) محتمل

Initial Access

Exploit SSL VPN یا FortiWeb

Persistence

✔ ایجاد Admin User

✔ تغییر Config

Privilege Escalation

دسترسی به سطح مدیریتی

Lateral Movement

Pivot به شبکه داخلی

Impact

Data Exfiltration ✔

Disruption ✔

✔ آماده‌سازی برای Ransomware

شاخص‌های compromise (IOC) که باید بررسی شوند

Login ✔موفق از IPهای غیرمعمول

✔ تغییر ناگهانی در:

VPN Settings

Admin Accounts

Firewall Policies

✔ ایجاد User بدون Change Request

✔ لاگ‌های ناقص یا حذف‌شده

Session ✔های VPN در ساعات غیرعادی

اقدامات دفاعی فنی و فوری (Technical Mitigations)

🔧  1.  Patch Management هدفمند

✔ ارتقا به آخرین نسخه Stable

✔ بررسی Advisoryهای PSIRT مرتبط با نسخه نصب‌شده

✔ حذف نسخه‌های End-of-Life

CVSS بالا کافی نیست. Exploit واقعی اولویت دارد

🔧  2.  Hardening احراز هویت

✔ فعال‌سازی Case-Sensitive Username

✔ استفاده از MFA مبتنی بر Token مستقل

✔ محدودسازی دسترسی VPN با:

IP Whitelisting

Geo Restriction

🔧  3. Monitoring پیشرفته

✔ ارسال لاگ‌ها به SIEM

Alert ✔  روی:

•  Failed + Successful Login Pattern
• User Creation Events
• Config Change Events

🔧  4. Network Segmentation

 ✔جدا کردن Management Plane

 ✔محدودسازی دسترسی Fortinet Devices به Internal Network

 ✔عدم Trust پیش‌فرض به VPN Users

🔧  5. Incident Response آمادگی‌محور

 ✔تغییر Credentialهای Admin

 ✔بررسی Integrity تنظیمات

Reset Session ✔های فعال

 ✔بررسی Backdoor احتمالی

نتیجه‌گیری

موج اخیر Exploitهای Fortinet یک پیام واضح دارد:

امنیت Perimeter بدون Patch، Monitoring و Hardening یک توهم است.

سازمان‌هایی که تجهیزات Fortinet را فقط «نصب» کرده‌اند، نه «مدیریت»، در حال حاضر در بالاترین سطح ریسک قرار دارند.