FortiWeb WAF 关键漏洞遭野外利用，可导致管理员权限完全沦陷
💡
原文中文，约1300字，阅读约需3分钟。
📝
内容提要
Fortinet 发布紧急公告，警告其 FortiWeb WAF 存在关键漏洞（CVE-2025-64446），攻击者可利用该漏洞执行管理命令并完全控制系统。建议用户升级至修补版本，并禁用互联网接口的 HTTP/HTTPS 访问以降低风险。
🎯
关键要点
- Fortinet 发布紧急公告，警告 FortiWeb WAF 存在关键漏洞（CVE-2025-64446）。
- 该漏洞允许攻击者执行管理命令并完全控制系统，源于访问控制缺陷。
- 漏洞被归类为相对路径遍历问题，攻击者可绕过认证机制创建未授权管理员账户。
- 漏洞的 CVSS v3.1 基础评分为 9.1，属于严重级别。
- 受影响的 FortiWeb 版本包括 8.0.0 至 8.0.17、7.6.47、7.4.97、7.2.117 和 7.0.11。
- 用户应升级至修补版本：8.0.2 或更高、7.6.5 或更高、7.4.10 或更高、7.2.12 或更高、7.0.12 或更高。
- 建议临时禁用面向互联网接口的 HTTP/HTTPS 访问，以降低风险。
- 企业需审计配置和日志，检查是否存在异常管理员账户的迹象。
- 该事件凸显网络安全设备面临的持续风险，攻击者常利用这些设备渗透网络。
- 安全专家建议优先修补关键基础设施，特别是考虑到该漏洞无需特权或用户交互即可利用。
❓
延伸问答
FortiWeb WAF 的关键漏洞是什么？
FortiWeb WAF 存在一个关键漏洞（CVE-2025-64446），允许攻击者执行管理命令并完全控制系统。
如何修复 FortiWeb WAF 的漏洞？
用户应升级至修补版本：8.0.2 或更高、7.6.5 或更高、7.4.10 或更高、7.2.12 或更高、7.0.12 或更高。
该漏洞的严重程度如何？
该漏洞的 CVSS v3.1 基础评分为 9.1，属于严重级别。
受影响的 FortiWeb 版本有哪些？
受影响的版本包括 8.0.0 至 8.0.17、7.6.47、7.4.97、7.2.117 和 7.0.11。
为了降低风险，用户应该采取哪些临时措施？
建议临时禁用面向互联网接口的 HTTP/HTTPS 访问，以降低风险。
企业在修复漏洞后需要做什么？
企业需审计配置和日志，检查是否存在异常管理员账户的迹象。
➡️
