セキュリティ · 2026年10月19日
FortiOSの脆弱性を悪用しPEERSTITCHマルウェアを配備、VPNセッションの検証を回避
高度な脅威アクターと疑われるグループが、FortinetのFortiOSにおけるセキュリティ上の欠陥を悪用し、これまで報告されていなかったメモリ常駐型のARM64マルウェアであるPEERSTITCHを配備したことが確認されました。
この攻撃では、FortiOS、FortiPAM、FortiProxy、およびFortiSwitchManagerのコマンドラインインタープリタに存在するパストラバーサルの脆弱性であるCVE-2025-61624が利用されました。この脆弱性はCVSSスコア5.4であり、権限を持つ攻撃者が特別に作成された引数を既存のコマンドに渡すことで、ファイルの任意の書き込みや削除を行う可能性があります。Fortinetはこの問題に対し、2026年4月に修正プログラムをリリースしました。
PEERSTITCHはディスク上に永続的なバイナリを残さず、リスニングポートを開放せず、外部ネットワークへの接続も開始しません。代わりに、感染したホスト上の正当なプロセスによって生成されるトラフィックを通じて通信を行うため、従来のエンドポイントやネットワークによる検知への耐性を備えています。
攻撃者は、まずFortiManagerの重大な脆弱性であるFortiJump（CVE-2024-47575）を悪用して初期アクセスを獲得しました。その後、実行中の設定、暗号化素材、および500台以上の管理対象FortiGateファイアウォールに関する情報を含むデータベースファイルが格納されたアーカイブを流出させました。これらの情報は、ネットワーク偵察、長期的なアクセスの確立、ネットワークトラフィックの傍受、不正なFortiGate SSL/VPNセッションの構築、バックドアの配備、および前述のCVE-2025-61624を利用したPEERSTITCHの配備に使用されました。
このマルウェアはC言語で記述された64ビットLinux ARM64実行ファイルです。攻撃の主要段階では、オーケストレーターがlldprxを起動し、FortiOSの2つのコアデーモンであるmiglogdとikedのプロセスメモリに悪意のあるコードを注入します。これにより、2つの正当なプロセスの間に隠密なメモリ常駐型の通信ブリッジが構築され、検知を回避します。具体的には、miglogdのフックがデータ内の特定のマーカーを認識し、セッション識別子をikedデーモンに渡します。ikedのフックがVPNセッション内でその識別子を検出すると、デフォルトのFortiOSセキュリティ検証を回避する代替の実行パスが選択されます。
また、攻撃者はFortiGateファイアウォール上のネイティブなApache mod_mdモジュールを利用して、SSHベースのリバースシェルを生成する別のコマンドアンドコントロールチャネルを確立したことも観察されています。さらに、syslog生成の停止、クラッシュログの消去、テレメトリの妨害、および実行後の不正な管理者アカウントや自動スクリプトオブジェクトの自動削除など、フォレンジックの痕跡を消去する様々な措置を講じていました。米国サイバーセキュリティおよびインフラセキュリティ庁（CISA）は、2026年10月16日にCVE-2025-61624を既知の悪用された脆弱性カタログに追加し、連邦政府機関に対し10月19日までの修正適用を義務付けました。