Aanvallers maken actief misbruik van een kritieke kwetsbaarheid in verschillende producten van Fortinet, zo meldt het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security. De kwetsbaarheid in FortiOS laat een ongeauthenticeerde aanvaller willekeurige code en commando's op systemen uitvoeren. Alleen het versturen van speciaal geprepareerde requests is hiervoor voldoende.

De impact van de kwetsbaarheid (CVE-2024-23113) is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. FortiOS is het besturingssysteem van Fortinet dat op allerlei netwerkapparaten draait, zoals firewalls en vpn-systemen. Fortinet kwam op 8 februari dit jaar met updates voor FortiOS, alsmede voor FortiPAM, FortiProxy en FortiWeb. Op dat moment werd er volgens Fortinet nog geen misbruik van het lek gemaakt.

Inmiddels is dat wel het geval, aldus het CISA. Details over de aanvallen zijn niet door het Amerikaanse cyberagentschap gegeven. Wel zijn Amerikaanse overheidsinstanties door het CISA opgedragen de beschikbare updates voor 30 oktober te installeren mocht dat nog niet zijn gedaan.