<p>FortiGate 防火牆正被惡意分子悄悄重新配置和簡化，他們已經找到了繞過單點登錄（SSO）保護的方法，並直接從設備中獲取敏感設置。</p>
<p>這是安全公司 Arctic Wolf 的警告，該公司表示，自 1 月 15 日以來，已經發現一波自動化的惡意活動，針對 Fortinet 的 FortiGate 設備，通過被攻陷的 SSO 賬户，翻轉防火牆設置，創建後門管理員用户，並導出配置文件。</p>
<p>Arctic Wolf 表示，攻擊者不僅僅是在探查：入侵者創建新的管理員賬户，調整 VPN 和防火牆規則，並導出完整配置。這些配置通常包含敏感憑證和內部網絡細節，實際上將攻擊者的下一步目標圖示化。</p>
<p>“上述所有事件在幾秒鐘內發生，表明可能存在自動化活動，” Arctic Wolf 説。</p>
<p>Arctic Wolf 尚未確認新的漏洞。相反，這種行為與利用漏洞的情況不謀而合。這一活動源於兩個關鍵的身份驗證繞過漏洞（CVE-2025-59718 和 CVE-2025-59719），攻擊者可以通過特製的 SAML 響應繞過 SSO 登錄檢查。針對這些漏洞的補丁在去年 12 月發佈，但 Arctic Wolf 的警告跟隨了越來越多的報告，管理員們認為攻擊者正在利用 CVE-2025-59718 的補丁繞過，來攻陷那些原本認為已經修復的防火牆。</p>
<p>在 Reddit 上，受影響的管理員表示，Fortinet 私下承認 FortiOS 7.4.10 並未完全修復 SSO 身份驗證繞過問題，儘管該問題在 12 月初發布的 FortiOS 7.4.9 中被標記為已修復。幾位客户報告稱在完全更新的系統上看到入侵。</p>
<ul>
<li>Palo Alto 設備在神秘流量洪水中惡意活動激增</li>
<li>防火牆和 VPN 現在如此複雜，實際上可能讓你更不安全</li>
<li>Fortinet 承認在一週內出現第二個零日漏洞</li>
<li>SonicWall 又遭遇糟糕的一週，SMA 1000 零日漏洞正在被積極利用</li>
</ul>
<p>Fortinet 現在據説正在準備額外的版本——FortiOS 7.4.11、7.6.6 和 8.0.0——以在接下來的幾天內全面解決 CVE-2025-59718。</p>
<p>受影響客户共享的日誌顯示，攻擊者通過 SSO 從地址 cloud-init@mail.io 登錄，源自 IP 地址 104.28.244.114，然後創建新的管理員用户。這些指標與 Arctic Wolf 在分析當前 FortiGate 攻擊時觀察到的活動相匹配，以及去年 12 月的類似利用嘗試。</p>
<p>Arctic Wolf 正在敦促組織審計 FortiGate 管理賬户，審查最近的配置更改，輪換憑證，並密切關注 SSO 活動，直到 Fortinet 的下一輪修復發佈。®</p>

飛塔信息

<p>FortiGate 防火牆正面臨靜默入侵，攻擊者繞過單點登錄（SSO）保護，重新配置設置並竊取敏感信息。安全公司 Arctic Wolf 報告自 1 月 15 日以來，自動化攻擊激增，利用了兩個關鍵的身份驗證繞過漏洞（CVE-2025-59718 和 CVE-2025-59719）。儘管在 12 月發佈了補丁，受影響的系統仍然持續受到攻擊。Fortinet 正在準備額外的更新以解決這些漏洞。建議組織審計管理員賬户並監控 SSO 活動，直到修復措施實施</p>

<p>FortiGate firewalls are getting quietly reconfigured and stripped down by miscreants who've figured out how to sidestep SSO protections and grab sensitive settings right out of the box.</p>
<div class="lb-trans"><p>FortiGate 防火牆正被惡意分子悄悄重新配置和簡化，他們已經找到了繞過單點登錄（SSO）保護的方法，並直接從設備中獲取敏感設置。</p>
</div><p>That's according to a warning from security shop Arctic Wolf, which says it has spotted a wave of automated malicious activity starting January 15 that's targeting Fortinet's FortiGate appliances via compromised SSO accounts, flipping firewall settings, creating backdoor admin users, and exfiltrating configuration files.</p>
<div class="lb-trans"><p>這是安全公司 Arctic Wolf 的警告，該公司表示，自 1 月 15 日以來，已經發現一波自動化的惡意活動，針對 Fortinet 的 FortiGate 設備，通過被攻陷的 SSO 賬户，翻轉防火牆設置，創建後門管理員用户，並導出配置文件。</p>
</div><p>Arctic Wolf says that the attackers aren't just poking around: intruders create new admin accounts, adjust VPN and firewall rules, and export the full configuration. Those configs often include sensitive credentials and internal network details, effectively handing attackers a map of what to hit next.</p>
<div class="lb-trans"><p>Arctic Wolf 表示，攻擊者不僅僅是在探查：入侵者創建新的管理員賬户，調整 VPN 和防火牆規則，並導出完整配置。這些配置通常包含敏感憑證和內部網絡細節，實際上將攻擊者的下一步目標圖示化。</p>
</div><p>&#34;All of the above events took place within seconds of each other, indicating the possibility of automated activity,&#34; Arctic Wolf said.</p>
<div class="lb-trans"><p>“上述所有事件在幾秒鐘內發生，表明可能存在自動化活動，” Arctic Wolf 説。</p>
</div><p>What Arctic Wolf hasn't confirmed is a new vulnerability. Instead, the behavior lines up uncomfortably well with exploitation. This activity stemmed from two critical authentication bypass bugs (CVE-2025-59718 and CVE-2025-59719) that let attackers bypass SSO login checks via specially crafted SAML responses. Patches for those were shipped last December, but Arctic Wolf's advisory follows a growing wave of reports from administrators who believe attackers are exploiting a patch bypass for CVE-2025-59718 to compromise firewalls that were already thought to be fixed.</p>
<div class="lb-trans"><p>Arctic Wolf 尚未確認新的漏洞。相反，這種行為與利用漏洞的情況不謀而合。這一活動源於兩個關鍵的身份驗證繞過漏洞（CVE-2025-59718 和 CVE-2025-59719），攻擊者可以通過特製的 SAML 響應繞過 SSO 登錄檢查。針對這些漏洞的補丁在去年 12 月發佈，但 Arctic Wolf 的警告跟隨了越來越多的報告，管理員們認為攻擊者正在利用 CVE-2025-59718 的補丁繞過，來攻陷那些原本認為已經修復的防火牆。</p>
</div><p>On Reddit, affected admins say Fortinet has privately acknowledged that FortiOS 7.4.10 does not fully remediate the SSO authentication bypass, despite the issue being flagged as patched with the release of FortiOS 7.4.9 in early December. Several customers report seeing intrusions on fully updated systems.</p>
<div class="lb-trans"><p>在 Reddit 上，受影響的管理員表示，Fortinet 私下承認 FortiOS 7.4.10 並未完全修復 SSO 身份驗證繞過問題，儘管該問題在 12 月初發布的 FortiOS 7.4.9 中被標記為已修復。幾位客户報告稱在完全更新的系統上看到入侵。</p>
</div><ul>
<li>Palo Alto kit sees massive surge in malicious activity amid mystery traffic flood</li>
<li>Firewalls and VPNs are so complex now, they can actually make you less secure</li>
<li>Fortinet 'fesses up to second 0-day within a week</li>
<li>Another bad week for SonicWall as SMA 1000 zero-day under active exploit</li>
</ul>
<div class="lb-trans"><ul>
<li>Palo Alto 設備在神秘流量洪水中惡意活動激增</li>
<li>防火牆和 VPN 現在如此複雜，實際上可能讓你更不安全</li>
<li>Fortinet 承認在一週內出現第二個零日漏洞</li>
<li>SonicWall 又遭遇糟糕的一週，SMA 1000 零日漏洞正在被積極利用</li>
</ul>
</div><p>Fortinet is now said to be preparing additional releases – FortiOS 7.4.11, 7.6.6, and 8.0.0 – over the coming days to fully address CVE-2025-59718.</p>
<div class="lb-trans"><p>Fortinet 現在據説正在準備額外的版本——FortiOS 7.4.11、7.6.6 和 8.0.0——以在接下來的幾天內全面解決 CVE-2025-59718。</p>
</div><p>Logs shared by affected customers show attackers logging in via SSO from the address cloud-init@mail.io, originating from IP address 104.28.244.114, before creating new admin users. Those indicators match the same activity that Arctic Wolf observed while analyzing the current FortiGate attacks, as well as similar exploitation attempts back in December.</p>
<div class="lb-trans"><p>受影響客户共享的日誌顯示，攻擊者通過 SSO 從地址 cloud-init@mail.io 登錄，源自 IP 地址 104.28.244.114，然後創建新的管理員用户。這些指標與 Arctic Wolf 在分析當前 FortiGate 攻擊時觀察到的活動相匹配，以及去年 12 月的類似利用嘗試。</p>
</div><p>Arctic Wolf is urging organizations to audit FortiGate admin accounts, review recent configuration changes, rotate credentials, and keep a close eye on SSO activity until Fortinet's next round of fixes lands. ®</p>
<div class="lb-trans"><p>Arctic Wolf 正在敦促組織審計 FortiGate 管理賬户，審查最近的配置更改，輪換憑證，並密切關注 SSO 活動，直到 Fortinet 的下一輪修復發佈。®</p>
</div>

FortiGate 防火牆遭遇無聲的單點登錄入侵和配置被盜