Fortinet 與 Ivanti 發布 2025 年 8 月安全修補程式，應對重大漏洞威脅
在 2025 年 8 月的「修補星期二」更新中，兩家知名的網路安全解決方案供應商 Fortinet 和 Ivanti 發布了多項重要的安全公告，旨在解決其產品中發現的數十個漏洞。這些漏洞的嚴重性從中等到高嚴重性不等，其中包含多個可能導致遠端程式碼執行（RCE）和權限提升的關鍵性問題。鑑於這兩家公司的產品在企業網路安全中扮演著核心角色，及時安裝這些修補程式對於保護組織免受潛在的網路攻擊至關重要。
Fortinet 的十四項新公告
Fortinet 本次共發布了十四項新的安全公告，涵蓋了其多款廣受歡迎的產品。其中最關鍵的漏洞是針對 FortiSIEM 的 CVE-2025-25256。這個關鍵性漏洞允許未經身份驗證的遠端攻擊者執行任意程式碼或命令，對企業網路構成極其嚴重的威脅。儘管目前尚未發現惡意利用此漏洞的攻擊，但已在野外發現了實際的利用範例，這意味著攻擊者可能正在積極開發相關的攻擊工具。因此，Fortinet 的用戶應將此漏洞的修補列為首要任務。
除了 FortiSIEM 的關鍵漏洞，Fortinet 還修補了其他高嚴重性漏洞，包括：
- FortiWeb 中的身份驗證繞過漏洞（CVE-2025-52970）： 此漏洞允許攻擊者繞過正常的身份驗證流程，進而非法訪問受保護的系統或資料。
- FortiOS、FortiPAM、FortyProxy 和 FortiSwitchManager 漏洞（CVE-2024-26009）： 這些漏洞影響了 Fortinet 的核心網路產品，若被利用，可能對網路安全造成廣泛影響。
此外，Fortinet 也解決了其產品（如 FortiManager、FortiWeb 和 FortiVoice）中的多個中等嚴重性漏洞，其中許多問題也可能導致任意程式碼執行。這些漏洞的修補對於維護企業網路的全面安全至關重要，不容忽視。
Ivanti 的三項安全公告
Ivanti 在本次更新中發布了三項安全公告，同樣涵蓋了其多個企業級產品線。其中一個公告涵蓋了 Ivanti Avalanche 中的兩個高嚴重性漏洞，這些漏洞允許經過身份驗證的遠端攻擊者執行程式碼，進而控制受影響的系統。
另一個公告描述了 Ivanti Virtual Application Delivery Control (vADC) 中的一個中等嚴重性漏洞，此漏洞允許經過身分驗證的遠端攻擊者重設管理員密碼。雖然此漏洞需要攻擊者已獲得部分權限，但其潛在危害仍然巨大，因為它可能導致權限提升，使攻擊者獲得對系統的完全控制權。
第三個公告則涵蓋了 Ivanti Connect Secure、Policy Secure、ZTA Gateways 和 Neurons for Secure Access 等產品中的多個漏洞。這些產品是許多企業實現安全遠端連接的關鍵，其中發現的兩個高嚴重性漏洞可能導致拒絕服務（DoS）攻擊，使遠端連接服務中斷。此外，兩個中等嚴重性漏洞也可能導致拒絕服務或允許攻擊者讀取任意檔案。
應對措施與重要性
Fortinet 和 Ivanti 的產品廣泛應用於全球企業，因此這些漏洞的潛在影響範圍非常廣泛。歷史經驗表明，惡意行為者通常會在供應商發布修補程式後迅速利用這些已知的漏洞進行攻擊。雖然 Ivanti 表示目前尚未發現其漏洞被利用，但用戶不應因此掉以輕心。
總結來說，Fortinet 和 Ivanti 的客戶應立即採取行動，審閱這些公告並儘快部署相應的修補程式。對於無法立即修補的漏洞，則應實施供應商建議的緩解措施，例如網路分段、防火牆規則更新等，以降低風險。這次大規模的修補行動再次強調了持續性漏洞管理和及時更新對於保護企業網路安全的重要性，只有透過積極主動的防禦措施，才能有效抵禦不斷演變的網路威脅。
資料來源：https://www.securityweek.com/fortinet-ivanti-release-august-2025-security-patches/