أعلنت شركة Fortinet عن إصدار تحديثات أمنية لمعالجة ثغرة خطيرة للغاية في منصة FortiSIEM، يمكن أن تُمكّن مهاجمًا غير مصادق عليه من تنفيذ أوامر برمجية عن بُعد والسيطرة الكاملة على الأنظمة المتأثرة.
الثغرة، التي تحمل المعرّف CVE-2025-64155، مصنفة كثغرة حقن أوامر نظام التشغيل (OS Command Injection)، وحصلت على تقييم خطورة 9.4 من 10 وفق معيار CVSS، ما يضعها ضمن أعلى مستويات التهديد الأمني.
وقالت Fortinet في نشرة أمنية صدرت يوم الثلاثاء إن الخلل ناتج عن عدم التعامل السليم مع عناصر خاصة داخل أوامر النظام، ما يسمح للمهاجم، عبر طلبات TCP مُعدّة خصيصًا، بتنفيذ أوامر أو أكواد غير مصرح بها دون الحاجة إلى أي مصادقة.
الأجهزة المتأثرة والتحديثات
أوضحت الشركة أن الثغرة تؤثر فقط على عُقد Super وWorker في FortiSIEM، وتم إصلاحها في الإصدارات التالية:
FortiSIEM 6.7.0 – 6.7.10: الترقية إلى إصدار مُصحّح
FortiSIEM 7.0.0 – 7.0.4: الترقية إلى إصدار مُصحّح
FortiSIEM 7.1.0 – 7.1.8: التحديث إلى 7.1.9 أو أحدث
FortiSIEM 7.2.0 – 7.2.6: التحديث إلى 7.2.7 أو أحدث
FortiSIEM 7.3.0 – 7.3.4: التحديث إلى 7.3.5 أو أحدث
FortiSIEM 7.4.0: التحديث إلى 7.4.1 أو أحدث
FortiSIEM 7.5: غير متأثر
FortiSIEM Cloud: غير متأثر
كيف يعمل الهجوم؟
بحسب الباحث الأمني زاك هانلي من Horizon3.ai، الذي اكتشف الثغرة في أغسطس 2025، يتكون الهجوم من مرحلتين خطيرتين:
حقن معاملات دون مصادقة يؤدي إلى كتابة ملفات عشوائية على النظام وتنفيذ أكواد بصلاحيات المستخدم الإداري.
تصعيد صلاحيات عبر استبدال ملف يتم تشغيله دوريًا بصلاحيات الجذر (Root)، ما يمنح المهاجم سيطرة كاملة على الجهاز.
وتعود المشكلة الأساسية إلى خدمة phMonitor، وهي مكون خلفي بالغ الأهمية في FortiSIEM مسؤول عن مراقبة الصحة وتوزيع المهام والتواصل بين العُقد عبر المنفذ TCP 7900.
تقوم هذه الخدمة بتنفيذ سكربتات نظام باستخدام مدخلات يتحكم بها المستخدم، ما يفتح الباب أمام استغلال متقدم يسمح بكتابة Reverse Shell يتم تشغيله تلقائيًا كل دقيقة بصلاحيات Root.
استغلال فعلي ونشر PoC
أكدت شركة Horizon3.ai نشرها كود إثبات مفهوم (PoC) يوضح كيفية استغلال الثغرة عن بُعد دون مصادقة.
كما كشفت Defused Cyber، في منشور بتاريخ 15 يناير 2026، عن رصد هجمات فعلية تستغل الثغرة ضد مصائدها (Honeypots)، قادمة من عدة عناوين IP مختلفة.
ثغرة أخرى في FortiFone
وفي السياق ذاته، أصدرت Fortinet تحديثات لمعالجة ثغرة حرجة أخرى في FortiFone (CVE-2025-47855 – تقييم 9.3)، قد تسمح لمهاجم غير مصادق عليه بالحصول على إعدادات الجهاز عبر طلبات HTTP(S) مُعدّة خصيصًا.
توصيات عاجلة
التحديث الفوري إلى أحدث الإصدارات
تقييد الوصول إلى منفذ phMonitor (7900) كحل مؤقت
مراجعة الأنظمة بحثًا عن أي مؤشرات اختراق
وتؤكد Fortinet أن تجاهل التحديثات قد يعرّض بيئات المراقبة الأمنية نفسها لخطر الاختراق الكامل، ما يجعل سرعة الاستجابة أمرًا حاسمًا في هذه الحالة.
