Fortinet’in web uygulama güvenlik duvarı ürünü FortiWeb’de, 8.0.2 sürümünde sessizce yamalanmış kritik bir güvenlik açığı aktif olarak istismar ediliyor. watchTowr güvenlik ekibi tarafından tespit edilen bu zafiyet, saldırganların kimlik doğrulama mekanizmasını atlayarak yönetici yetkileriyle yeni hesaplar oluşturmasına olanak tanıyor. Bu durum, saldırganların hedef sistemlerde kalıcı erişim sağlaması için yeni bir kapı aralıyor.
Açığın Teknik Detayları ve İstismar Mekanizması
Bilgi güvenliği araştırmacıları, bu açığın bir HTTP POST isteği aracılığıyla “/api/v2.0/cmdb/system/admin%3F/../../../../../cgi-bin/fwbcgi” yoluna özel bir yük gönderilerek tetiklendiğini belirtiyor. Bu istek, FortiWeb’in yönetici hesapları yönetim modülünde kimlik doğrulama kontrollerini atlayarak yeni yönetici kullanıcıları yaratılmasına imkan tanıyor. Defused ve PwnDefend araştırmacısı Daniel Card tarafından paylaşılan örneklerde, “Testpoint”, “trader1” ve “test1234point” gibi kullanıcı adlarıyla birlikte karmaşık şifreler kullanıldığı gözlemlendi.
Bu tür saldırılar, özellikle FortiWeb cihazlarının konteyner tabanlı mimarilerde rastgele atanmış SSH portları üzerinden yönetildiği ortamlarda daha tehlikeli hale gelebilir. Saldırganlar, MCP istemcisi benzeri araçlarla veya Pydantic AI tabanlı otomasyonlarla bu zafiyeti otomatikleştirerek geniş çaplı erişim elde edebilir. AsyncRAT gibi uzaktan erişim araçlarıyla entegre edildiğinde, saldırganların ağda kalıcılığı ve hareketliliği artmaktadır.
Yama Durumu ve Güvenlik Topluluğunun Tepkisi
Fortinet, bu açığa henüz resmi bir CVE numarası atamamış ve PSIRT uyarısı yayımlamamıştır. Ancak Rapid7, 6 Kasım 2025 tarihinde popüler bir kara şapka forumunda FortiWeb için iddia edilen bir sıfırıncı gün açığının satışa sunulduğunu raporladı. Bu durum, istismarın yaygınlığı ve potansiyel tehlikesi hakkında ciddi endişeler yaratmaktadır.
watchTowr CEO’su Benjamin Harris, kullanıcıların öncelikle sistemlerinde önceki ihlal belirtilerini araştırmaları, Fortinet ile iletişime geçmeleri ve mümkün olan en kısa sürede yamaları uygulamaları gerektiğini vurguladı. Yamanmamış cihazların büyük olasılıkla zaten saldırganların kontrolünde olduğu düşünülmektedir.
İlgili Araçlar ve Tespit Yöntemleri
Bilgi güvenliği topluluğu, kimlik doğrulama atlatma zafiyetine karşı savunmasız cihazları tespit etmek için özel araçlar geliştirmiştir. Bu araçlar, FortiWeb cihazlarının API çağrılarını analiz ederek anormal POST isteklerini ve yönetici hesaplarında beklenmedik değişiklikleri tespit etmeye odaklanır. Ayrıca, konteyner ortamlarında çalışan FortiWeb örneklerinin rastgele atanmış SSH portları üzerinden izlenmesi, saldırıların erken tespiti için kritik öneme sahiptir.
Daha fazla teknik detay ve güncel bilgiler için Fortinet’in resmi PSIRT sayfası ve CVE veri tabanları takip edilmelidir: CVE-2025-XXXX Detayları.
Sonuç ve Öneriler
Fortinet FortiWeb ürünündeki bu kritik kimlik doğrulama atlatma açığı, saldırganlara yüksek ayrıcalıklı erişim sağlama potansiyeli taşıyor ve özellikle kritik altyapılar için ciddi bir risk oluşturuyor. Siber güvenlik profesyonellerinin, FortiWeb cihazlarını acilen güncellemeleri, anormal yönetici hesap aktivitelerini izlemeleri ve saldırı göstergelerini sürekli takip etmeleri gerekiyor. Ayrıca, konteyner tabanlı dağıtımlarda rastgele SSH portlarının güvenliğinin sağlanması ve MCP istemcisi benzeri otomasyon araçlarının kullanımının kontrol altında tutulması önem taşıyor.