• FortiSIEM 6.7.0 – 6.7.10
• FortiSIEM 7.0.0 – 7.0.4
• FortiSIEM 7.1.0 – 7.1.8
• FortiSIEM 7.2.0 – 7.2.6
• FortiSIEM 7.3.0 – 7.3.4
• FortiSIEM 7.4.0

Nota: Las versiones en la nube y las últimas versiones parcheadas (p. ej., 7.4.1, 7.3.5, 7.2.7, 7.1.9) no están afectadas.

🔥 Impacto

• Explotación remota no autenticada posible

• Compromiso total del sistema (acceso root)

• Posibles acciones del atacante:

  • Instalar malware/puertas traseras
  • Exfiltrar registros y credenciales
  • Alterar o deshabilitar la monitorización
  • Pivotar a sistemas internos

FortiSIEM a menudo contiene telemetría sensible y datos de administración, por lo que su compromiso puede debilitar seriamente la seguridad organizacional.

📈 Estado de explotación

• Prueba de concepto (PoC) pública disponible
• Explotación activa reportada en la naturaleza
• Aún no aparece en algunos catálogos oficiales de vulnerabilidades gubernamentales, pero es de máxima urgencia

🛡 Mitigación y remediación

Acciones inmediatas:

1. Aplicar el parche a FortiSIEM de inmediato: actualizar a las versiones 7.4.1, 7.3.5, 7.2.7 o 7.1.9
2. Restringir el acceso de red: permitir solo que hosts de confianza accedan al puerto TCP 7900
3. Segmentar y aislar FortiSIEM de la exposición general de la red
4. Monitorear los registros: vigilar conexiones inusuales o acciones de administrador inesperadas

Mitigación temporal:

• Bloquear el tráfico entrante al puerto TCP 7900 hasta que sea posible aplicar el parche

🧠 Resumen

CVE-2025-64155 es una vulnerabilidad crítica de inyección de comandos del sistema operativo en FortiSIEM que permite acceso root remoto no autenticado. Con exploits PoC disponibles públicamente, las organizaciones deben parchear, aislar y monitorear de inmediato para evitar el compromiso total del sistema.

Referencias:

• The Hacker Wire
• Socradar Threat Blog
• INCIBE