أصدرت Fortinet تحديثات أمنية لمعالجة اثنتين من نقاط الضعف الحرجة في FortiOS وFortiWeb وFortiProxy وFortiSwitchManager والتي قد تسمح للمهاجمين بتجاوز مصادقة FortiCloud SSO.
يمكن للجهات الفاعلة في مجال التهديد استغلال العيبين الأمنيين اللذين تم تتبعهما باسم CVE-2025-59718 (FortiOS وFortiProxy وFortiSwitchManager) وCVE-2025-59719 (FortiWeb) عن طريق إساءة استخدام التحقق غير الصحيح من نقاط الضعف في توقيع التشفير في المنتجات المعرضة للخطر عبر رسالة SAML ضارة.
ومع ذلك، وكما أوضحت Fortinet في تقرير استشاري تم نشره اليوم، فإن ميزة FortiCloud الضعيفة لا يتم تمكينها افتراضيًا عندما لا يكون الجهاز مسجلاً في FortiCare.
“Please note that the FortiCloud SSO login feature is not enabled in default factory settings,” قال فورتينت. “However, when an administrator registers the device to FortiCare from the device’s GUI, unless the administrator disables the toggle switch ‘Allow administrative login using FortiCloud SSO’ in the registration page, FortiCloud SSO login is enabled upon registration.”
ولحماية أنظمتهم من الهجمات التي تستغل هذه الثغرات الأمنية، يُنصح المسؤولون بتعطيل ميزة تسجيل الدخول إلى FortiCloud مؤقتًا (في حالة تمكينها) حتى يقومون بالترقية إلى إصدار غير معرض للثغرات الأمنية.
لتعطيل تسجيل الدخول إلى FortiCloud، انتقل إلى النظام -> الإعدادات والتبديل “Allow administrative login using FortiCloud SSO” إلى إيقاف. وبدلاً من ذلك، يمكنك تشغيل الأمر التالي من واجهة سطر الأوامر:
config system globalset admin-forticloud-sso-login disableendاليوم، قامت الشركة أيضًا بتصحيح ثغرة أمنية في تغيير كلمة المرور لم يتم التحقق منها (“https://fortiguard.fortinet.com/psirt/FG-IR-25-599″ الهدف=”_blank” rel=”nofollow noopener”>CVE-2025-59808) الذي يسمح للمهاجمين “who gained access to a victim’s user account to reset the account credentials without being prompted for the account’s password,” وآخر يمكنه السماح للجهات الفاعلة بالتهديد بالمصادقة باستخدام التجزئة بدلاً من كلمة المرور (“https://fortiguard.fortinet.com/psirt/FG-IR-25-984″ الهدف=”_blank” rel=”nofollow noopener”>CVE-2025-64471).
يتم استغلال الثغرات الأمنية في Fortinet بشكل متكرر (غالبًا ما تصل إلى صفر يوم) في كل من هجمات برامج الفدية وهجمات التجسس عبر الإنترنت.
على سبيل المثال، فورتينت”http://www.fortinet.com/blog/psirt-blogs/importance-of-patching-an-analysis-of-the-exploitation-of-n-day-vulnerabilities” الهدف=”_blank” rel=”nofollow noopener”> تم الكشف عنها في فبراير أن”https://www.bleepingcomputer.com/news/security/chinese-hackers-hid-in-us-infrastructure-network-for-5-years/” الهدف=”_blank” rel=”nofollow noopener”> مجموعة قرصنة فولت تايفون الصينية باب خلفي أ”https://www.bleepingcomputer.com/news/security/chinese-hackers-infect-dutch-military-network-with-malware/” الهدف=”_blank” rel=”nofollow noopener”> وزارة الدفاع الهولندية شبكة عسكرية تستخدم برامج ضارة مخصصة للوصول عن بعد من نوع Coathanger (RAT) بعد استغلال عيبين في FortiOS SSL VPN (CVE-2023-27997 وCVE-2022-42475).
ومؤخرًا، في أغسطس، تم تصحيح Fortinet”https://www.bleepingcomputer.com/news/security/fortinet-warns-of-fortisiem-pre-auth-rce-flaw-with-exploit-in-the-wild/” الهدف=”_blank” rel=”nofollow noopener”> ثغرة أمنية في حقن الأوامر (CVE-2025-25256) مع كود الاستغلال المتاح للعامة في حل مراقبة الأمان FortiSIEM، بعد يوم واحد من قيام شركة الأمن السيبراني GreyNoise بالإبلاغ عن ثغرة”https://www.bleepingcomputer.com/news/security/spike-in-fortinet-vpn-brute-force-attacks-raises-zero-day-concerns/” الهدف=”_blank” rel=”nofollow noopener”>ارتفاع هائل في هجمات القوة الغاشمة استهداف شبكات VPN الخاصة بـ Fortinet SSL.
في نوفمبر، فورتينت”https://www.bleepingcomputer.com/news/security/fortinet-warns-of-new-fortiweb-zero-day-exploited-in-attacks/” الهدف=”_blank” rel=”nofollow noopener”>تم التحذير من يوم الصفر في FortiWeb (CVE-2025-58034) الذي تم استغلاله بشكل نشط في الهجمات بعد أسبوع واحد”https://www.bleepingcomputer.com/news/security/fortinet-confirms-silent-patch-for-fortiweb-zero-day-exploited-in-attacks/” الهدف=”_blank” rel=”nofollow noopener”>تأكيد أنه قد مصححة بصمت آخر”https://x.com/CERTCyberdef/status/1989311517611733454″ الهدف=”_blank” rel=”nofollow noopener”> استغلالها على نطاق واسع FortiWeb صفر يوم (CVE-2025-64446).
“https://www.bleepstatic.com/c/t/tines/tines-keyhole.jpg” البديل=”tines”>
قم بتفكيك صوامع IAM مثل Bitpanda وKnowBe4 وPathAI
إن تعطل IAM لا يمثل مجرد مشكلة تتعلق بتكنولوجيا المعلومات – بل يمتد التأثير عبر عملك بالكامل.
يغطي هذا الدليل العملي سبب فشل ممارسات IAM التقليدية في مواكبة المتطلبات الحديثة، وأمثلة على ذلك “good” تبدو IAM وكأنها قائمة مرجعية بسيطة لبناء استراتيجية قابلة للتطوير.