🔥 Fortinet sous pression : exploitation active d’un contournement d’authentification SSO

Depuis décembre 2025, Fortinet confirme l’exploitation active d’une faille critique affectant la fonction FortiCloud SSO (Single Sign-On), permettant à des attaquants d’accéder à des appareils Fortinet sans authentification légitime. Cette attaque est particulièrement grave car elle frappe des fonctions d’administration — le cœur de la sécurité réseau — et a été observée malgré l’installation de correctifs. 

🧠 📌 Contexte : pourquoi c’est grave

Les produits Fortinet (notamment FortiGate, FortiWeb, FortiProxy et FortiSwitchManager) sont largement déployés dans les infrastructures d’entreprise pour filtrer, protéger et orchestrer le trafic réseau. Une compromission de ces équipements peut conduire à :

• 🔓 Accès administrateur non autorisé
• 📤 Exfiltration des configurations complètes
• 🧰 Création de comptes persistants
• 🔑 Vol de certificats, identifiants, et VPN

Les attaques observées depuis mi-janvier 2026 sont hautement automatisées, ciblent principalement des interfaces accessibles via internet, et mènent à des modifications de configuration en quelques secondes. 

🧪 📊 Détails techniques des vulnérabilités

🔐 CVE-2025-59718 — Bypass d’authentification FortiCloud SSO

• Type de faille : contournement d’authentification via manipulation de messages SAML (signature cryptographique mal vérifiée).
• Produits touchés : FortiOS, FortiProxy, FortiSwitchManager lorsqu’ils ont FortiCloud SSO activé.
• Impact : un attaquant non authentifié peut forger une réponse SAML valide et obtenir un accès administratif.
• CVSS : Critique (≥ 9.8). 

🛡️ CVE-2025-59719 — Bypass sur FortiWeb

• Type : vulnérabilité similaire sur la plateforme FortiWeb, exploitant aussi des SAML forgés.
• Effet : élévation de privilèges et accès administrateur sans mot de passe.
• Lien : fait partie de l’advisory Fortinet FG-IR-25-647, qui regroupe ces failles critiques. 

👉 Ces vulnérabilités résultent d’une vérification cryptographique insuffisante des messages SAML lors des sessions SSO FortiCloud (CWE-347). Elles permettent essentiellement de « leurre » le mécanisme d’authentification pour qu’il accepte une session non légitime. 

☠️ 🔍 Exploitation active dans la nature

Peu après la publication des correctifs en décembre 2025, plusieurs sociétés de cybersécurité – notamment Arctic Wolf et Huntress – ont suivi des campagnes d’exploitation automatisées :

• Tentatives de login SSO malveillant
• Exfiltration rapide de configurations
• Création immédiate de comptes persistants
• Automatisation à grande échelle (des dizaines de milliers d’appareils exposés avec SSO activé) 

Des administrateurs ont même constaté des attaques réussies malgré l’application des dernières versions patchées, indiquant soit un contournement des correctifs initiaux, soit une mise à jour encore insuffisante dans certaines branches (par exemple 7.4.9 et 7.4.10). 

🛠️ 🚑 Versions vulnérables et correctifs disponibles

Fortinet a publié des versions fixes pour les branches principales, mais l’état des correctifs reste instable dans certaines versions selon les observations du terrain. 

👉 Important : certains correctifs déployés (comme 7.4.9 ou 7.4.10) ont encore été signalés comme insuffisants par des administrateurs sur le terrain — Fortinet travaille à des versions ultérieures (7.4.11, 7.6.6, etc.) pour corriger définitivement le problème. 

🧯 🛡️ Recommandations pratiques de remédiation

Pour les équipes sécurité, voici les tactiques immédiates à appliquer :

🧩 1. Appliquer les derniers correctifs

• Mettre à jour vers les versions citées ci-dessus dès que possible.
• Suivre les advisories Fortinet pour les versions ultérieures spécifiques au SSO. 

🔐 2. Désactiver FortiCloud SSO (immédiat)

• Comme cette fonctionnalité est souvent activée par défaut via FortiCare, désactive-la jusqu’à ce que les correctifs soient stabilisés.config system global set admin-forticloud-sso-login disable end
• Cela empêche l’attaque via messages SAML malveillants. 

🔒 3. Restreindre l’accès administratif

• Limiter l’accès de la management interface à des réseaux internes ou VPN.
• Utiliser des local-in-policy pour filtrer les adresses autorisées. 

🔄 4. Audit et réponse après compromission

• Si une compromission est suspectée :
  • Restaurer la configuration à partir d’un backup sain.
  • Changer toutes les clés d’accès, certificats et mots de passe d’administration/VPN.
  • Examiner les comptes administratifs récemment créés. 

🧾 📌 En résumé

Les vulnérabilités CVE-2025-59718 et CVE-2025-59719 (FG-IR-25-647) sont critiques et activement exploitées dans la nature, même sur certaines installations patchées. Elles permettent à des attaquants non authentifiés de contourner le FortiCloud SSO via des messages SAML truqués, d’accéder à des appareils et d’en extraire les configurations. 

La bonne nouvelle : des correctifs sont disponibles. La mauvaise : leur application doit être accompagnée de désactivation du SSO, durcissement des accès et audits post-incident rigoureux pour éviter que l’infrastructure ne devienne un vecteur d’accès profond dans ton réseau. 

Partager cet article : Twitter LinkedIn WhatsApp

🖋️ Publié sur SecuSlice.com