先說結論：使用 Fortinet 防火牆、網頁代理、特權存取或交換器管理產品的組織，應依實際產品和完整版本盤點 CVE-2025-61624，並核對具讀寫權限的管理帳號活動。美國 CISA 於二○二六年十月十六日把它加入已知遭利用漏洞目錄；Fortinet 以漏洞編號授權發布者身分提供的原始紀錄，則列出受影響版本與修正方向。這是一個需要已通過驗證且具相應管理權限的檔案路徑問題，不能改寫成任何未登入的網際網路訪客都能直接利用。本文於台北時間十月十八日重查兩個不同機構的官方資料，說明如何安排更新與調查。
背景與前因：FortiOS 是 Fortinet 防火牆的作業軟體，FortiProxy 是處理網頁流量的代理產品，FortiPAM 用來管理高權限帳號與存取，FortiSwitchManager 則是集中管理交換器的工具。這些系統由不同團隊維運，單看設備外殼、採購品名或公司使用了 Fortinet 品牌，無法判定是否落在本漏洞範圍。Fortinet 的原始漏洞紀錄在二○二六年四月十四日發布，十月十七日仍有更新；CISA 的已知遭利用目錄則在十月十六日新增這個編號。新加入目錄不等於漏洞昨天才出現，也不表示本地設備必然是在十月才開始暴露。
原因與前置條件：Fortinet 把問題歸為路徑穿越，也就是程式處理檔案位置時，沒有充分限制操作只能留在預期資料夾內。其紀錄說明，攻擊者須先有通過驗證的管理員設定檔，並至少具備讀寫權限，才可能透過特定命令列操作寫入或刪除原本不應任意碰觸的檔案。命令列是管理員輸入管理指令的介面；本文不提供可重現的指令。Fortinet 的嚴重度資料把攻擊路徑列為本機、所需權限列為高，與不需身分的公開網頁攻擊不同。即使已有高權限要求，越過檔案位置邊界仍可能危及設備內容與正常運作，不能因它不是免登入弱點就忽略。
影響範圍：Fortinet 的原始紀錄分列四個產品。FortiOS 的 7.6.0 至 7.6.4、7.4.0 至 7.4.9，以及所列 7.2、7.0、6.4 舊支線版本受到影響；支線是同一產品的一組版本系列。FortiProxy 包括 7.6.0 至 7.6.4、7.4.0 至 7.4.11，以及公告列出的較早支線。FortiSwitchManager 包括 7.2.0 至 7.2.7 與 7.0.0 至 7.0.6；FortiPAM 則涵蓋 1.7.0 和多個 1.6 至 1.0 的舊版。這些範圍不是四種產品共用的一張版本表，維運人員應以產品名稱、支線與完整修訂版逐台比對，不能把 FortiOS 的修補號碼當成 FortiProxy 的修補號碼。
原始紀錄列出的可用修正方向也分產品：FortiOS 可升至 7.6.5 或 7.4.10 及其後續適用版本；FortiProxy 對應 7.6.5 或 7.4.12；FortiPAM 對應 1.7.1，若已規劃較新支線則應依原廠支援與發布狀態判斷；FortiSwitchManager 對應 7.2.8 或 7.0.7。某些較早支線沒有原地安裝同支線修補的選項，需規劃轉到仍受支援且已修正的支線。紀錄提及的『即將推出』版本不應被當成現在已可下載的更新，實際升級路徑仍須以當下產品支援與相容性為準。
CISA 的目錄提供了另一個重要但有限的訊號：這個漏洞已有符合其收錄標準的實際利用證據，因此值得提高處置優先順序。目錄把受影響產品合稱多項 Fortinet 產品，並要求依原廠措施處理、視情況執行鑑識分流，也就是先判斷哪些設備需要深入調查；它沒有在這筆條目中交代所有被利用設備的完整清單、攻擊者身分或每起事件的細節。目錄中勒索軟體活動欄為未知，不可把它寫成已確認由某個勒索團體大規模利用。十月十九日的處置期限屬美國聯邦政策背景，不是台灣所有機構的法定截止日。對一般組織而言，已知遭利用意味著應縮短盤點與修補延遲，但具體暴露程度仍要看本地資產和帳號紀錄。
你可以怎麼做：先由網路與資安團隊建立清單，逐一記錄 FortiOS、FortiProxy、FortiPAM 和 FortiSwitchManager 的設備或服務、完整版本、管理入口、負責人、是否啟用自動化管理帳號，以及哪些帳號有讀寫權限。管理權限不只可能授予真人，也可能交給維運腳本或整合服務；因此查核時應把服務帳號與臨時授權納入。把每台設備和 Fortinet 原始紀錄中相同產品支線的受影響範圍與修正版本對照，標出已修正、待升級、支線不再支援及尚未能確認四種狀態。未知不是安全狀態，應由設備實際回報版本，而不是只看採購單或更新排程。
安排更新時，應先確認相容性、設定備份與回復計畫，再依業務窗口升級；完成後從運作中的設備讀回完整版本並測試必要的管理與網路服務。若目前無法即時升級，先減少管理介面可達來源、收回不必要的讀寫權限，並加強管理帳號監視；這些只是降低利用機會，不能讓有缺陷的檔案處理邏輯消失。也不要把掃描器未警示等同修補完成，因為掃描器可能只看得到產品大版本，無法判定某個支線的完整修訂版。對跨多產品的環境，變更單應分別保留每個產品的修補依據與驗證結果。
調查方面，應檢查受影響時段的管理登入、權限授予、設定變更、設備檔案異動與異常服務中斷，並對照集中式日誌、身分系統及變更工單。單一管理操作可能是合法維護，也可能值得進一步查證；判斷需看操作者、時間、核准紀錄與後續設備狀態。若發現陌生高權限活動或重要檔案遭非預期改動，先保存可用證據、隔離受影響的管理路徑，再由授權人員決定是否擴大鑑識與帳號輪替。僅安裝更新無法自動還原可能已改動的檔案，但沒有異常紀錄也不能單獨證明設備從未被利用。
目前兩個官方來源能支持的結論是：Fortinet 已列出路徑穿越的特定權限前提、產品版本和修正方向；CISA 已把此編號列為已知遭利用。它們不能替任一讀者確認現場是否有相應產品、誰持有管理員讀寫權限、是否已有未經授權的檔案變更，也未公開足以推定本地個案的受害證據。把『已知有人利用』與『我們已受害』分開，把『已規劃更新』與『設備回讀證實已修正』分開，才有助於在新資料出現時修正判斷。本文只提供防禦性盤點、修補與調查順序，不含可操作的利用方法。
官方來源：
- CVE-2025-61624 原始紀錄：Fortinet 四類產品路徑穿越漏洞（Fortinet（CVE 編號授權發布者））
- Known Exploited Vulnerabilities Catalog, CVE-2025-61624（美國網路安全暨基礎設施安全局 CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。