FortiGate の深刻な脆弱性 CVE-2025-25249 が FIX：AI 支援の PivotC2 RAT が展開されている

Hackers Exploit Critical FortiGate Flaw to Deploy AI-Assisted PivotC2 RAT

2026/09/09 gbhackers — FortiGate の深刻な脆弱性 CVE-2025-25249 を積極的に悪用する攻撃者が、Node.js ベースのリモート・アクセス型トロイの木馬 (RAT) PivotC2 を展開し、FortiOS アプライアンスへの侵害後のアクセスを維持している。SOCRadar の Threat Research Unit (STRU) の研究者によると、このキャンペーンは 30,000 を超えるインターネット公開 FortiGate の IP アドレスを標的としており、2026年7月以降、少なくとも 178 台のデバイスの侵害に成功している。

この攻撃で悪用されている脆弱性 CVE-2025-25249 (CVSS 9.8) は、FortiOS／FortiSwitchManager で使用される “cw_acd” デーモンに存在する深刻なヒープバッファ・オーバーフローの欠陥である。この脆弱性を悪用する未認証のリモート攻撃者が、UDP ポート 5246 へ細工した CAPWAP リクエストを送信することで、任意のコード実行が引き起こされる可能性がある。

FortiGate の深刻な脆弱性

SOCRadar の調査によると、攻撃者は “fortirun.bin” というエクスプロイト・バイナリを Bash／Python の自動化スクリプトと組み合わせて、脆弱なデバイスに対する攻撃を繰り返している。この脆弱性の悪用に成功した攻撃者はリバース・シェルを作成し、Base64 でエンコードした JavaScript ステージャーを Node.js で実行する。

最初のステージャーは、”hxxps://146[.]103[.]99[.]177:8443/0c5b76709523″ から第 2 段階のペイロードをダウンロード／デコードした後、pivot という鍵を使用して XOR で復号し、生成された JavaScript インプラントを “/tmp/.i.js” へ書き込んでバックグラウンド・プロセスとして起動する。したがって、親となる Node.js プロセスが終了しても動作を維持できる。

この PivotC2 は、侵害済みの FortiGate ファイアウォールに特化して設計されており、攻撃者が制御するインフラに対して外向きの TLS 接続を確立し、単一の接続上で複数の SSH に似たチャネルを多重化するコンパクトなバイナリ・プロトコルを使用する。

この RAT を使用する攻撃者は、対話型シェルの取得／コマンドの実行／ファイルのアップロード／ダウンロード／SOCKS5／HTTP プロキシの利用／ローカル／リモート・ポート・フォワーディングの有効化／DNS ルックアップ／プロセスの探索／CIDR などに基づくネットワーク・スキャンを実行できる。さらに、トンネル機能を介してエッジ・ファイアウォールを侵入の足掛かりとして転用することで、本来は隔離されている内部ネットワークへのアクセスも可能にする。

特に懸念される機能の 1 つが、設定情報を自動的に収集する機能である。PivotC2 は FortiGate の設定ファイルから、グローバル設定／ネットワーク・インターフェイス・データ／仮想ドメインの設定／デバイス固有のシークレットファイル “fsv_sync.dat” などを収集できる。

このマルウェアは、FortiGate に保存されている認証情報を復号できると報告されており、VPN の事前共有鍵／SSL-VPN の認証情報／無線 LAN のパスワード／LDAP バインドのシークレット／管理者アカウントなどが露出する可能性がある。さらに研究者は、感染した FortiGate が C2 サーバへ接続した際に、認証情報の収集／ネットワーク情報の抽出／発見した内部サブネットのスキャンなどを自動的に実行する “–auto” モードも確認している。

復元されたコードに含まれるコメントや運用上の指示からは、開発者が RAT の開発と侵入ワークフローを高速化するために AI ツールを使用した可能性が示唆される。SOCRadar の Threat Research Unit (STRU) は、この攻撃活動がロシア語話者の金銭目的のサイバー犯罪グループと関連していると、高い確度で評価している。

調査で確認されたのは、ロシア語のコメント／Active Directory の列挙／ブラウザ認証情報の窃取／RDP の有効化／リバース SSH リレーと Tor を利用したプロキシ／Microsoft Exchange の “.pst” メールボックス・ファイルなどを、攻撃者が管理する Wasabi S3 ストレージへ持ち出す活動であり、米国を拠点とする 2 つのユーザー組織では、ネットワーク全体への侵入とデータ窃取の被害が確認されている。PivotC2 の感染が最も多く報告されているのは米国であり、それに続くのがチリ／コロンビア／英国である。

組織に対して強く推奨されるのは、影響を受けるシステムを直ちに FortiOS 7.6.4／7.4.9／7.2.12／7.0.18 以降へアップグレードすることである。FortiSwitchManager のユーザーは、バージョン 7.2.7／7.0.6 以降へアップデートする必要がある。また、防御側に求められるのは、インターネットへ公開されたインターフェイスでの Fabric Service の無効化／Local-In Policy によるポート 5246 ～ 5249 へ向けた UDP トラフィックの遮断／CAPWAP の外部公開の制限である。

インシデント・レスポンス担当者にとって必要なことは、”146.103.99.177″／”46.151.29.58″ へ向けた外向きセッションの検索／”/tmp/” ディレクトリ内の “.i.js” ファイルの調査／実行中の Node.js プロセスの確認である。PivotC2 のアーティファクトが 1 つでも確認された場合には、すでに FortiGate の設定データが侵害されたものと想定し、アプライアンス／VPN／LDAP／無線 LAN／IPSec などに関連する、すべての認証情報をローテーションする必要がある。

FortiGate に存在する深刻な脆弱性 CVE-2025-25249 が悪用されています。未認証の第三者による遠隔からの任意コード実行／リバースシェルの確立／端末侵害／制御権奪取などの被害が懸念されます。さらに侵害後のアクセスを維持するための悪意あるプログラムが配置され、内部ネットワークへの侵入／設定ファイルや各種パスワードの窃取が行われるリスクが生じます。影響として、組織内の重要情報漏洩やネットワーク全体の占拠へ発展する危険性があります。対策として、該当製品の管理用ソフトウェアを最新バージョンへ更新すること／特定ポートへの通信遮断／不要な外部公開の停止／関連するすべての暗号鍵やパスワードの変更処理が必要とされます。