À savoir
- La découverte de la vulnérabilité CVE-2025-59718 a provoqué une onde de choc dans le monde de la cybersécurité.
- Dans de nombreux environnements, le firewall FortiGate est la première et parfois la seule ligne de défense entre Internet et le réseau interne.
- Dans le cas de CVE-2025-59718, de nombreux firewalls ont été compromis avant la prise de conscience publique, rendant le patch insuffisant à lui seul.
La découverte de la vulnérabilité CVE-2025-59718 a provoqué une onde de choc dans le monde de la cybersécurité. En cause : des firewalls FortiGate compromis alors même que les derniers correctifs de sécurité étaient installés.
Un scénario redouté, car il remet en question l’un des piliers de la défense périmétrique moderne : la confiance dans les équipements de sécurité à jour.
🔎 Contexte : FortiGate, un pilier de la sécurité réseau
Les firewalls FortiGate, développés par Fortinet, sont largement utilisés dans les entreprises, administrations et infrastructures critiques. Leur rôle est central :
- filtrage du trafic réseau
- protection contre les intrusions
- VPN d’entreprise
- segmentation et contrôle des accès
- inspection du trafic chiffré
Dans de nombreux environnements, le firewall FortiGate est la première et parfois la seule ligne de défense entre Internet et le réseau interne.
🚨 CVE-2025-59718 : une vulnérabilité particulièrement préoccupante
Pourquoi cette CVE est différente
Contrairement aux failles classiques, CVE-2025-59718 présente une caractéristique inquiétante :
- les systèmes correctement patchés restent exploitables dans certains scénarios
- l’attaque ne dépend pas d’une version obsolète évidente
- l’exploitation peut avoir lieu avant ou indépendamment de l’application du correctif
Cela suggère soit :
- un vecteur d’attaque partiellement couvert par le patch,
- soit une persistance laissée par une compromission antérieure,
- soit un comportement non documenté du correctif.
🧩 Nature technique de la vulnérabilité (analyse globale)
Les informations publiques indiquent que CVE-2025-59718 concerne :
- une gestion incorrecte de sessions ou de services exposés
- un composant critique du système FortiOS
- un contexte permettant une exécution de code ou un accès non autorisé
Dans plusieurs cas observés :
- les attaquants ont obtenu un accès persistant
- des règles firewall ont été modifiées
- des tunnels ou comptes fantômes ont été créés
Même après mise à jour, la compromission persistait.
🎯 Scénario d’attaque typique
- Le firewall FortiGate est exposé sur Internet
- La vulnérabilité CVE-2025-59718 est exploitée
- L’attaquant obtient un accès privilégié
- Des mécanismes de persistance sont installés
- L’administrateur applique les patchs officiels
- Le système reste compromis à l’insu de l’entreprise
Le correctif empêche peut-être une nouvelle exploitation, mais ne supprime pas l’accès déjà implanté.
🔐 Pourquoi les patchs ne suffisent pas toujours
Le mythe du “tout patché = sécurisé”
Cette vulnérabilité illustre une réalité souvent mal comprise :
- un patch corrige une faille
- il ne garantit pas la remédiation d’une compromission passée
- il ne supprime pas automatiquement :
- comptes créés par un attaquant
- règles modifiées
- tâches planifiées malveillantes
- backdoors logicielles
Dans le cas de CVE-2025-59718, de nombreux firewalls ont été compromis avant la prise de conscience publique, rendant le patch insuffisant à lui seul.
📉 Impacts concrets pour les organisations
Un firewall compromis implique :
- interception du trafic réseau
- accès aux flux VPN
- espionnage des communications internes
- contournement de toutes les autres couches de sécurité
- pivot vers le réseau interne
Dans certains environnements, cela revient à perdre totalement le contrôle du périmètre de sécurité.
🛡️ Mesures de mitigation recommandées
1. Audit complet du firewall
- vérification des comptes administrateurs
- analyse des règles firewall et NAT
- inspection des tunnels VPN
- contrôle des tâches planifiées et scripts
2. Rotation immédiate des secrets
- mots de passe administrateurs
- clés VPN
- certificats
- tokens d’API
3. Réinstallation propre si doute
Dans les cas critiques, une réinstallation complète de FortiOS à partir d’une image saine est recommandée, suivie d’une restauration manuelle et vérifiée de la configuration.
4. Surveillance accrue
- analyse des logs historiques
- détection de connexions suspectes
- corrélation avec le trafic réseau
⚖️ Avantages et limites de la réponse de Fortinet
Points positifs
- communication relativement rapide
- publication de correctifs
- recommandations de sécurité complémentaires
Points de vigilance
- complexité de la remédiation
- manque de visibilité pour les non-experts
- dépendance forte à la capacité d’audit interne
Cette CVE rappelle que les équipements de sécurité ne sont pas infaillibles, même lorsqu’ils sont maintenus à jour.
