FortiManager侵害で500台超の設定流出、Unit 42がPEERSTITCHとCVE-2025-61624悪用を分析

Palo Alto NetworksのUnit 42は、2026年10月14日付(ページ掲載日)の調査報告で、FortiGateのメモリ上に入り込むマルウェア「PEERSTITCH」を公開しました。調査対象は、2024年9月に始まった通信事業者への侵害です。

攻撃者は集中管理用のFortiManagerを侵害し、500台超の管理対象FortiGateに関する設定や認証情報などを含むアーカイブを持ち出しました。調査で確認されたのは管理基盤からの情報流出と、その後の一部機器での攻撃活動です。500台すべてや、管理先の顧客ネットワークすべてへの侵入が確認されたわけではありません。FortiManagerやFortiGateの管理者は、修正版の適用に加え、流出し得る認証情報や機器間の信頼関係も見直す必要があります。

FortiManagerからの侵入とFortiOSでの権限昇格

Unit 42は、攻撃の初期段階でFortiManagerのCVE-2024-47575(通称FortiJump)が使われたとしています。必要な認証処理が欠けており、未認証の攻撃者が管理用の通信経路を通じてコードやコマンドを実行できる問題です。

別の段階では、FortiOSのCVE-2025-61624が悪用されました。こちらは認証済みの高い管理権限が前提です。通常のFortiOS管理用CLIでは制限されているファイル操作を、パストラバーサルで行える問題です。調査では、権限昇格とPEERSTITCHの導入に使われました。

CVE-2025-61624の評価はMediumですが、すでに管理権限を奪われた環境では被害を広げる手段になります。Fortinetの告知が示す基本値は6.0、時間の経過で変わる条件を加味した時間的評価値は5.4です。CVE記録の基本値欄は5.4となっており、告知とは評価の区分が食い違っています。本記事の表は、Fortinet告知の基本値6.0に合わせています。

FortinetはCVE-2025-61624を悪用確認済みとしており、米CISAも悪用が確認された脆弱性のカタログ(KEV)へ追加しました。KEVに記載された追加日は2026年10月16日です。CVE-2024-47575の追加日は2024年10月23日と記録されています。

500台超のFortiGate設定情報が流出

持ち出されたアーカイブには、FortiGateの稼働中の設定、管理関係を記録するデータベース、機器のシリアル番号と公開IPアドレス、内部ネットワークの構成、暗号化された認証情報、証明書や秘密鍵などが含まれていました。Unit 42は、流出した設定から管理者やSSL VPNのパスワードを復元できることも確認しています。

Unit 42の調査範囲は事業者自身の環境で、顧客側のネットワークは対象外です。設定情報の露出は、接続経路や認証情報を攻撃者に与える問題です。

その後の活動では、複数の管理対象機器への通信をキャプチャする不正な設定、正規の認証情報を使ったVPN接続、バックドアの導入が報告されています。また、Unit 42は、攻撃者が管理基盤になりすまして設定を取得した可能性があると、中程度の確度で評価しています。なりすましに流出した信頼情報を使ったのか、別の脆弱性を悪用したのかは確定していません。

PEERSTITCHは既存プロセスのメモリを改変する

PEERSTITCHはARM64向けのマルウェアで、ログ処理を担うmiglogdと、VPNの鍵交換などを担うikedのメモリに介入します。既存のプロセス間で情報を受け渡し、特定の目印が付いたVPNセッションについて、通常のセキュリティ検証を迂回させます。

Unit 42によると、PEERSTITCH自体は待ち受けポートを開かず、外向きの通信も開始しません。導入用のファイルは使われていますが、主な機能はメモリ上で動くため、一般的なファイル検査や新しい待ち受けポートの確認だけでは見つけにくい仕組みです。

同じ侵害では、Apacheの証明書管理機能を悪用した外向きのリバースシェルも報告されており、既存プロセス内で動くPEERSTITCHとは別の操作経路が併用されていました。

修正版は管理基盤とファイアウォールで別に確認する

FortiManagerのCVE-2024-47575は、Fortinetの告知FG-IR-24-423で修正済みです。オンプレミス版では、7.6.1、7.4.5、7.2.8、7.0.13、6.4.15、6.2.13で本件が修正されました。これらは当該CVEを修正した最初の版です。現在のサポート対象版を選び、公式の更新経路とFortiGateとの互換性を確認してください。

FortiManager Cloudや、FortiManager機能を有効にした一部の旧FortiAnalyzerを使っている場合も、同告知で対象範囲を確認してください。

FortiOSのCVE-2025-61624については、FG-IR-26-122が次の対処を示しています。表はFortiOSの範囲であり、同告知に含まれるFortiPAM、FortiProxy、FortiSwitchManagerにはそれぞれ別の影響範囲があります。

7.4.10と7.6.5は、本件の修正を含む最初の版です。更新時点の最新パッチと機器の対応版も確認してください。

FortinetのSSL-VPN移行案内に掲載されたライフサイクル表では、FortiOS 7.2のサポート終了(EOS)は2026年9月30日で、すでにその期日を過ぎています。7.0も2025年9月30日に終了しています。本件の告知では、7.2・7.0・6.4の全版が修正済み系列への移行対象です。延長保守契約による技術支援の範囲は、個別に確認してください。

流出した認証情報と管理の信頼関係も見直す

Unit 42は、管理基盤を修正しても、持ち出された認証情報や機器間の信頼情報は、更新されるまで攻撃に使われ得ると指摘しています。Fortinetも、管理対象機器の認証情報の変更や、イベントログによる不正なアクセス・設定変更の確認を案内しています。

侵害が疑われる場合は、FortiManagerと管理対象FortiGateを一つの調査範囲として扱い、機器外に保存したログや設定履歴も確保してください。Unit 42は、ログの停止・削除や不正な設定の痕跡消去も確認しているため、機器上の記録をこれらと照合する必要があります。

具体的な確認点として、Unit 42はmiglogdとikedにある約16KBの実行可能な匿名メモリ領域、不審なauto-scriptの設定履歴、クラッシュログのセグメンテーション違反などを挙げています。報告には侵害指標(IoC)とYARAルールも公開されています。

管理者は、更新と侵入経路の遮断に加え、不正な管理者アカウント、VPN利用、通信をキャプチャする設定、証明書・秘密鍵・管理用認証情報の扱いを点検する必要があります。メモリの調査や再構築が必要な場合は、証拠を失わないようメーカーや調査担当者と作業を調整してください。

認証情報流出を扱った別の事例は、FortiBleedに関する過去記事でも紹介しています。今回の調査とは別の報告です。

参考情報

• Unit 42: Unit 42 Uncovers PEERSTITCH, a Stealthy FortiGate Implant
• Fortinet: Missing authentication in fgfmsd(FG-IR-24-423)
• Fortinet: Path Traversal in CLI(FG-IR-26-122)
• CISA: Known Exploited Vulnerabilities Catalog
• Fortinet: FortiOSライフサイクル参考表を含む案内

本記事は2026年10月17日時点で確認した公開情報に基づいています。