FortiWeb WAF 关键漏洞遭野外利用，可导致管理员权限完全沦陷

漏洞详情与影响范围

Fortinet 发布紧急安全公告，警告其 FortiWeb 网页应用防火墙（WAF）产品中存在一个已被攻击者野外利用的关键漏洞（CVE-2025-64446）。该漏洞源于图形用户界面组件的访问控制缺陷，允许未经验证的威胁攻击者执行管理命令，可能完全控制受影响系统。

该漏洞被归类为相对路径遍历问题（CWE-23），攻击者可通过构造恶意 HTTP/HTTPS 请求绕过认证机制，进而创建未授权管理员账户，获取设备配置和敏感数据的完全访问权限。Fortinet 产品安全事件响应团队（PSIRT）已确认野外利用活动，敦促用户立即修补。

严重程度与受影响版本

根据美国国家漏洞数据库（NVD）标准，该漏洞 CVSS v3.1 基础评分为 9.1（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H），属于"严重"级别。影响以下 FortiWeb 版本：

• 8.0.0 至 8.0.1
• 7.6.0 至 7.6.4
• 7.4.0 至 7.4.9
• 7.2.0 至 7.2.11
• 7.0.0 至 7.0.11

修复方案与临时措施

用户应升级至以下修补版本：

• 8.0.2 或更高
• 7.6.5 或更高
• 7.4.10 或更高
• 7.2.12 或更高
• 7.0.12 或更高

Fortinet 建议临时禁用面向互联网接口的 HTTP/HTTPS 访问，遵循"仅限内网管理"的最佳实践。此举虽能显著降低风险，但无法完全消除威胁。

后续检测与行业警示

升级后，企业需审计配置和日志，检查是否存在异常管理员账户添加或修改等入侵迹象。Fortinet 强调应审查访问模式以发现潜在未授权活动。

该事件凸显了网络安全设备面临的持续风险——这些设备常成为攻击者渗透整个网络的跳板。安全专家建议优先修补关键基础设施，特别是考虑到该漏洞无需特权或用户交互即可利用的特点。