<p>FortiGate 防火墙正被恶意分子悄悄重新配置和简化，他们已经找到了绕过单点登录（SSO）保护的方法，并直接从设备中获取敏感设置。</p>
<p>这是安全公司 Arctic Wolf 的警告，该公司表示，自 1 月 15 日以来，已经发现一波自动化的恶意活动，针对 Fortinet 的 FortiGate 设备，通过被攻陷的 SSO 账户，翻转防火墙设置，创建后门管理员用户，并导出配置文件。</p>
<p>Arctic Wolf 表示，攻击者不仅仅是在探查：入侵者创建新的管理员账户，调整 VPN 和防火墙规则，并导出完整配置。这些配置通常包含敏感凭证和内部网络细节，实际上将攻击者的下一步目标图示化。</p>
<p>“上述所有事件在几秒钟内发生，表明可能存在自动化活动，” Arctic Wolf 说。</p>
<p>Arctic Wolf 尚未确认新的漏洞。相反，这种行为与利用漏洞的情况不谋而合。这一活动源于两个关键的身份验证绕过漏洞（CVE-2025-59718 和 CVE-2025-59719），攻击者可以通过特制的 SAML 响应绕过 SSO 登录检查。针对这些漏洞的补丁在去年 12 月发布，但 Arctic Wolf 的警告跟随了越来越多的报告，管理员们认为攻击者正在利用 CVE-2025-59718 的补丁绕过，来攻陷那些原本认为已经修复的防火墙。</p>
<p>在 Reddit 上，受影响的管理员表示，Fortinet 私下承认 FortiOS 7.4.10 并未完全修复 SSO 身份验证绕过问题，尽管该问题在 12 月初发布的 FortiOS 7.4.9 中被标记为已修复。几位客户报告称在完全更新的系统上看到入侵。</p>
<ul>
<li>Palo Alto 设备在神秘流量洪水中恶意活动激增</li>
<li>防火墙和 VPN 现在如此复杂，实际上可能让你更不安全</li>
<li>Fortinet 承认在一周内出现第二个零日漏洞</li>
<li>SonicWall 又遭遇糟糕的一周，SMA 1000 零日漏洞正在被积极利用</li>
</ul>
<p>Fortinet 现在据说正在准备额外的版本——FortiOS 7.4.11、7.6.6 和 8.0.0——以在接下来的几天内全面解决 CVE-2025-59718。</p>
<p>受影响客户共享的日志显示，攻击者通过 SSO 从地址 cloud-init@mail.io 登录，源自 IP 地址 104.28.244.114，然后创建新的管理员用户。这些指标与 Arctic Wolf 在分析当前 FortiGate 攻击时观察到的活动相匹配，以及去年 12 月的类似利用尝试。</p>
<p>Arctic Wolf 正在敦促组织审计 FortiGate 管理账户，审查最近的配置更改，轮换凭证，并密切关注 SSO 活动，直到 Fortinet 的下一轮修复发布。®</p>

飞塔信息

<p>FortiGate 防火墙正面临静默入侵，攻击者绕过单点登录（SSO）保护，重新配置设置并窃取敏感信息。安全公司 Arctic Wolf 报告自 1 月 15 日以来，自动化攻击激增，利用了两个关键的身份验证绕过漏洞（CVE-2025-59718 和 CVE-2025-59719）。尽管在 12 月发布了补丁，受影响的系统仍然持续受到攻击。Fortinet 正在准备额外的更新以解决这些漏洞。建议组织审计管理员账户并监控 SSO 活动，直到修复措施实施</p>

<p>FortiGate firewalls are getting quietly reconfigured and stripped down by miscreants who've figured out how to sidestep SSO protections and grab sensitive settings right out of the box.</p>
<div class="lb-trans"><p>FortiGate 防火墙正被恶意分子悄悄重新配置和简化，他们已经找到了绕过单点登录（SSO）保护的方法，并直接从设备中获取敏感设置。</p>
</div><p>That's according to a warning from security shop Arctic Wolf, which says it has spotted a wave of automated malicious activity starting January 15 that's targeting Fortinet's FortiGate appliances via compromised SSO accounts, flipping firewall settings, creating backdoor admin users, and exfiltrating configuration files.</p>
<div class="lb-trans"><p>这是安全公司 Arctic Wolf 的警告，该公司表示，自 1 月 15 日以来，已经发现一波自动化的恶意活动，针对 Fortinet 的 FortiGate 设备，通过被攻陷的 SSO 账户，翻转防火墙设置，创建后门管理员用户，并导出配置文件。</p>
</div><p>Arctic Wolf says that the attackers aren't just poking around: intruders create new admin accounts, adjust VPN and firewall rules, and export the full configuration. Those configs often include sensitive credentials and internal network details, effectively handing attackers a map of what to hit next.</p>
<div class="lb-trans"><p>Arctic Wolf 表示，攻击者不仅仅是在探查：入侵者创建新的管理员账户，调整 VPN 和防火墙规则，并导出完整配置。这些配置通常包含敏感凭证和内部网络细节，实际上将攻击者的下一步目标图示化。</p>
</div><p>&#34;All of the above events took place within seconds of each other, indicating the possibility of automated activity,&#34; Arctic Wolf said.</p>
<div class="lb-trans"><p>“上述所有事件在几秒钟内发生，表明可能存在自动化活动，” Arctic Wolf 说。</p>
</div><p>What Arctic Wolf hasn't confirmed is a new vulnerability. Instead, the behavior lines up uncomfortably well with exploitation. This activity stemmed from two critical authentication bypass bugs (CVE-2025-59718 and CVE-2025-59719) that let attackers bypass SSO login checks via specially crafted SAML responses. Patches for those were shipped last December, but Arctic Wolf's advisory follows a growing wave of reports from administrators who believe attackers are exploiting a patch bypass for CVE-2025-59718 to compromise firewalls that were already thought to be fixed.</p>
<div class="lb-trans"><p>Arctic Wolf 尚未确认新的漏洞。相反，这种行为与利用漏洞的情况不谋而合。这一活动源于两个关键的身份验证绕过漏洞（CVE-2025-59718 和 CVE-2025-59719），攻击者可以通过特制的 SAML 响应绕过 SSO 登录检查。针对这些漏洞的补丁在去年 12 月发布，但 Arctic Wolf 的警告跟随了越来越多的报告，管理员们认为攻击者正在利用 CVE-2025-59718 的补丁绕过，来攻陷那些原本认为已经修复的防火墙。</p>
</div><p>On Reddit, affected admins say Fortinet has privately acknowledged that FortiOS 7.4.10 does not fully remediate the SSO authentication bypass, despite the issue being flagged as patched with the release of FortiOS 7.4.9 in early December. Several customers report seeing intrusions on fully updated systems.</p>
<div class="lb-trans"><p>在 Reddit 上，受影响的管理员表示，Fortinet 私下承认 FortiOS 7.4.10 并未完全修复 SSO 身份验证绕过问题，尽管该问题在 12 月初发布的 FortiOS 7.4.9 中被标记为已修复。几位客户报告称在完全更新的系统上看到入侵。</p>
</div><ul>
<li>Palo Alto kit sees massive surge in malicious activity amid mystery traffic flood</li>
<li>Firewalls and VPNs are so complex now, they can actually make you less secure</li>
<li>Fortinet 'fesses up to second 0-day within a week</li>
<li>Another bad week for SonicWall as SMA 1000 zero-day under active exploit</li>
</ul>
<div class="lb-trans"><ul>
<li>Palo Alto 设备在神秘流量洪水中恶意活动激增</li>
<li>防火墙和 VPN 现在如此复杂，实际上可能让你更不安全</li>
<li>Fortinet 承认在一周内出现第二个零日漏洞</li>
<li>SonicWall 又遭遇糟糕的一周，SMA 1000 零日漏洞正在被积极利用</li>
</ul>
</div><p>Fortinet is now said to be preparing additional releases – FortiOS 7.4.11, 7.6.6, and 8.0.0 – over the coming days to fully address CVE-2025-59718.</p>
<div class="lb-trans"><p>Fortinet 现在据说正在准备额外的版本——FortiOS 7.4.11、7.6.6 和 8.0.0——以在接下来的几天内全面解决 CVE-2025-59718。</p>
</div><p>Logs shared by affected customers show attackers logging in via SSO from the address cloud-init@mail.io, originating from IP address 104.28.244.114, before creating new admin users. Those indicators match the same activity that Arctic Wolf observed while analyzing the current FortiGate attacks, as well as similar exploitation attempts back in December.</p>
<div class="lb-trans"><p>受影响客户共享的日志显示，攻击者通过 SSO 从地址 cloud-init@mail.io 登录，源自 IP 地址 104.28.244.114，然后创建新的管理员用户。这些指标与 Arctic Wolf 在分析当前 FortiGate 攻击时观察到的活动相匹配，以及去年 12 月的类似利用尝试。</p>
</div><p>Arctic Wolf is urging organizations to audit FortiGate admin accounts, review recent configuration changes, rotate credentials, and keep a close eye on SSO activity until Fortinet's next round of fixes lands. ®</p>
<div class="lb-trans"><p>Arctic Wolf 正在敦促组织审计 FortiGate 管理账户，审查最近的配置更改，轮换凭证，并密切关注 SSO 活动，直到 Fortinet 的下一轮修复发布。®</p>
</div>

FortiGate 防火墙遭遇无声的单点登录入侵和配置被盗