Een telecomorganisatie is getroffen door een aanval waarbij een vermoedelijk staatsgesponsorde actor meerdere Fortinet kwetsbaarheden combineerde om binnen te komen, toegang vast te houden en later zelfs controle over de onderliggende firewallomgeving uit te breiden. Volgens Palo Alto Networks ging het om een intrusie die al in 2024 begon en in 2026 opnieuw relevant werd door een extra, door aanvallers misbruikte zwakte.
Wat dit extra verontrustend maakt: de aanval maakte gebruik van een implant die in het geheugen draait, zonder typische sporen zoals persistente schijfartefacten of standaard netwerkverbindingen. Het resultaat is een techniek waarmee monitoring lastiger wordt en die zich richt op kernprocessen op het apparaat.
Van initial access naar langdurige toegang
De intrusie, door Palo Alto Networks gekoppeld aan UNC5820 (CL-STA-0954), speelde zich af tegen een telecomomgeving. De aanvaller kreeg aanvankelijk toegang door het misbruiken van een kritieke remote code execution (RCE)-bug in FortiManager: CVE-2024-47575. Fortinet bracht een patch uit in oktober 2024, maar berichten van Mandiant geven aan dat UNC5820 de fout al minstens sinds juni 2024 misbruikte.
Na het beschikbaar komen van patches volgde dus niet automatisch herstel van het dreigingsmodel. Integendeel: de actor ging door met het uitbreiden van de aanvalsketen en het benutten van aanvullende kwetsbaarheden.
Extra Fortinet kwetsbaarheden: path traversal
In een nieuw overzicht beschrijft Palo Alto Networks dat UNC5820 ook CVE-2025-61624 misbruikte. Het gaat om een path traversal-kwetsbaarheid die meerdere Fortinet producten raakt. De getroffen componenten in deze campagne waren onder meer FortiOS, FortiPAM, FortiProxy en FortiSwitchManager.
Volgens de beschikbare informatie is de beveiligingsfout gepatcht in april 2026. Bij het oorspronkelijke disclosure-moment markeerde Fortinet de exploit als een zero-day. De kwetsbaarheid kan, na authenticatie, een aanvaller in staat stellen om willekeurige bestanden te schrijven of te verwijderen, wat in de praktijk kan leiden tot het plaatsen van malware of het manipuleren van configuratie.
CISA zet CVE-2025-61624 op KEV
De impact van CVE-2025-61624 werd nog urgenter toen CISA de kwetsbaarheid toevoegde aan de Known Exploited Vulnerabilities (KEV)-lijst. In de melding riep de instantie federale organisaties op om de fout direct te verhelpen.
Voor teams in de praktijk is dat een duidelijke signaalwaarde: als een Fortinet kwetsbaarheid in KEV belandt, is de kans groot dat aanvallers al “in het wild” actief zijn of blijven.
PeerStitch: geheugenimplant in plaats van schijfartefacten
Een kernpunt in deze case is het implantaat dat de aanvaller inzet. Palo Alto Networks koppelt de aanvallen aan het deployen van een voorheen onbekende FortiGate-implant met de naam PeerStitch. De actor zou CVE-2025-61624 als zero-day hebben gebruikt om deze implant te plaatsen.
PeerStitch wordt beschreven als ARM64-malware die in het geheugen draait. Daarbij zijn opvallende eigenschappen genoemd:
- het opent geen listening ports;
- het start geen outbound netwerkverbindingen;
- het communiceert via verkeer dat wordt gegenereerd door legitieme processen op het apparaat.
Op systeemniveau kreeg de implant bovendien een rol die lijkt op een “one-shot” aanpak: hij patcht of wijzigt doelcomponenten in korte, gerichte stappen en vermijdt daarbij persistente sporen op schijf. De beschreven werkwijze richt zich op onderdelen rond traffic logging en ook op de IKE/IPsec VPN-service daemons binnen FortiOS.
De bedoeling hiervan is volgens Palo Alto Networks het opzetten van een covert communicatiebrug tussen processen via process memory, en het omzeilen van standaard beveiligingsvalidaties binnen FortiOS.
Misbruik van FortiManager-toegang en identiteitsfraude
Naast het inzetten van de path traversal en het plaatsen van PeerStitch, beschrijft Palo Alto Networks ook hoe UNC5820 de FortiManager-identiteit gebruikte om opdrachten door te geven.
Zo zou de actor een centrale FortiManager-instantie benaderd hebben, waarbij een rogue “Virtual FortiGate” werd geregistreerd. Ook zou er een configuratiearchief zijn geëxfiltreerd met informatie over FortiManager, meer dan 500 beheerde FortiGate-firewalls en het netwerk van het slachtoffer.
Verder wordt vermeld dat UNC5820 bij FGFM-communicatie (FortiGate-to-FortiManager) de beheerrol imiteerde door het beëindigen of omzeilen van een echte FortiManager-sessie. Daarbij werd verwezen naar een extra kwetsbaarheid (CVE-2024-26008) als manier om een authenticatiesessie te verstoren. In een ander scenario zou de aanvaller ook exfiltrated secrets opnieuw hebben gebruikt om te authenticeren als de legitieme FortiManager.
Tot slot noemt Palo Alto Networks dat de aanvaller uitgebreide maatregelen nam om forensische artefacten te elimineren. Dat vergroot de kans dat “traditionele” detecties achteraf niet meteen alle sporen blootleggen.
Waarom deze aanval anders aanvoelt
Deze campagne laat zien dat edge-device malware steeds volwassener wordt. De combinatie van meerdere Fortinet kwetsbaarheden, het bouwen van een memory-resident implant en het bewust vermijden van persistente schijfsporen maakt de aanval complexer dan enkel “een patch missen”.
Daarnaast is de timing relevant: het aanvankelijk misbruiken van een RCE-bug vóór patching, en later het toevoegen van een tweede, eveneens actief misbruikte fout, laat zien dat aanvallers graag meerdere kansen in dezelfde keten grijpen.
Als je organisatie Fortinet-apparaten beheert, is dit dus niet alleen een “update”-verhaal. Het is ook een signaal om te kijken naar hoe je beheerkanalen, logging en incidentrespons hebt ingericht.
Wat je nu kunt doen (checklist)
Welke stappen het meest passend zijn hangt af van je omgeving, maar op basis van de gemelde aanvalspatronen kun je gericht maatregelen nemen:
- Patch Fortinet-systemen prioriteit: controleer of systemen die onder FortiOS, FortiPAM, FortiProxy of FortiSwitchManager vallen, op tijd de relevante fixes hebben gekregen.
- Valideer exposure van FortiManager: omdat initial access via FortiManager werd beschreven, is het logisch om te controleren of beheertoegang en verbindingen correct zijn afgeschermd.
- Reinig en controleer beheeridentiteiten: aangezien identiteitsfraude in FGFM-communicatie werd genoemd, loont het om te onderzoeken of beheerrollen en sessies afdoende worden gemonitord.
- Let op anomalieën in inter-process communicatie: omdat PeerStitch geen klassieke netwerkuitvoer lijkt te gebruiken, moet je detectionstrategie mogelijk ook naar host-gebaseerde signalen kijken.
Heb je al eerder te maken gehad met gecompromitteerde toegang in beheerdomeinen? Dan kan dit artikel je helpen om je aanpak breder te trekken: Gecompromitteerde ConnectWise toegang: wat nu te doen?
Conclusie: patch én ga verder dan alleen patches
Deze telecomhack toont hoe Fortinet kwetsbaarheden in samenhang kunnen worden ingezet: van RCE via FortiManager tot path traversal die de implantatie van PeerStitch mogelijk maakt. De grootste uitdaging ligt in het type malware en de uitvoering ervan: geheugenresident, gericht op kernprocessen en met vermijding van typische detecties.
Daarom is het verstandig om niet alleen te verifiëren dat de juiste updates zijn toegepast, maar ook om te beoordelen of je detectie, logging en incidentrespons voldoende zijn ingericht voor aanvallen die minder zichtbaar zijn op netwerkniveau. Alleen zo beperk je de kans op langdurige toegang en misbruik van beheerfuncties.
