Une nouvelle faille de sécurité zero-day a été patchée dans FortiWeb : CVE-2025-58034. Activement exploitée par les cybercriminels, elle peut permettre d’exécuter des commandes sur FortiWeb dans des attaques ne nécessitant pas d’interaction d’un utilisateur. Faisons le point.

Il y a quelques jours, Fortinet a dévoilé une première faille de sécurité zero-day dans FortiWeb : CVE-2025-64446. Dans le sillage de cette première vulnérabilité, une seconde faille de sécurité zero-day a été patchée par l’éditeur américain. Il s’agit d’une faiblesse de type “injection de commande au niveau de l’OS” qu’un attaquant peut exploiter en étant authentifié.

Fortinet précise qu’elle peut “permettre à un attaquant authentifié d’exécuter du code non autorisé sur le système sous-jacent via des requêtes HTTP ou des commandes CLI spécialement conçues.“

Pour autant, la nouvelle vulnérabilité, désormais suivie comme CVE-2025-58034, est moins critique que celle révélée il y a quelques jours. Son score CVSS v3 de 6.7 sur 10 pourrait presque nous amener à négliger l’importance du patch de sécurité. Le fait qu’une authentification soit nécessaire pèse certainement dans la balance.

Pourtant, Fortinet a confirmé que cette vulnérabilité était exploitée par les cybercriminels. Voici ce que l’on peut lire dans le bulletin de sécurité de l’éditeur : “Fortinet a observé que cette faille était exploitée dans la nature.” – D’après BleepingComputer qui est parvenu à obtenir des informations auprès de Trend Micro, 2 000 tentatives d’exploitation de cette faille ont été repérées.

De son côté, l’agence américaine CISA a déjà ajouté la vulnérabilité à son catalogue KEV qui référence les failles connues et exploitées. Elle ordonne même aux agences fédérales américaines d’appliquer le correctif d’ici le 25 novembre 2025. Preuve que c’est une menace à prendre au sérieux.

Comment se protéger de la CVE-2025-58034 ?

Si vous êtes sur la branche de versions la plus récente pour FortiWeb, et que vous avez appliqué la version 8.0.2, alors votre équipement est déjà protégé. Mais, dans certains cas, le correctif n’est pas inclus dans la même version pour la CVE-2025-58034 et la CVE-2025-64446. Pour être précis, la version qui intègre le patch pour cette nouvelle CVE est différente pour les branches 7.6 et 7.4 (ce qui impacte aussi les versions vulnérables).

Voici un tableau récapitulatif :

Pour finir, sachez que cette vulnérabilité a été découverte par Jason McFadyen de l’équipe de recherche Trend Micro.

Source