FortiWeb高危漏洞CVE-2025-58034告警：Fortinet确认已被野外利用

目前仍不清楚 Fortinet 为何选择在不发布公告的情况下修复这些漏洞。这种做法使得防护者难以掌握先机，实际上削弱了他们应对威胁的能力。

Fortinet 近日发出警告，称其 FortiWeb 产品中存在一个已被野外利用的新安全漏洞。该漏洞被标记为 CVE-2025-58034，属于中等严重级别，CVSS 评分为 6.7（满分 10.0）。

漏洞详情

Fortinet 在周二发布的公告中表示："FortiWeb 中存在操作系统命令中特殊元素不当过滤漏洞（CWE-78），经过身份验证的攻击者可能通过精心构造的 HTTP 请求或 CLI 命令在底层系统上执行未授权代码。"

简而言之，攻击者需要先通过其他方式完成身份验证，然后结合该漏洞（CVE-2025-58034）才能执行任意操作系统命令。

受影响版本及修复方案

该漏洞已在以下版本中得到修复：

FortiWeb 8.0.0 至 8.0.1 版本（需升级至 8.0.2 或更高版本）FortiWeb 7.6.0 至 7.6.5 版本（需升级至 7.6.6 或更高版本）FortiWeb 7.4.0 至 7.4.10 版本（需升级至 7.4.11 或更高版本）FortiWeb 7.2.0 至 7.2.11 版本（需升级至 7.2.12 或更高版本）FortiWeb 7.0.0 至 7.0.11 版本（需升级至 7.0.12 或更高版本）

漏洞披露背景

Fortinet 表示，该漏洞由趋势科技研究员 Jason McFadyen 根据其负责任的漏洞披露政策报告。值得注意的是，就在几天前，Fortinet 确认已在 8.0.2 版本中静默修复了另一个严重的 FortiWeb 漏洞（CVE-2025-64446，CVSS 评分：9.1）。

Fortinet 发言人向 The Hacker News 表示："我们一获悉此事便立即启动了 PSIRT 响应和修复工作，这些工作目前仍在进行中。Fortinet 始终致力于平衡客户安全承诺与负责任的透明度文化。"

静默修复引发争议

目前尚不清楚 Fortinet 为何选择在不发布公告的情况下修复这些漏洞。这种做法让安全团队难以采取有效应对措施，实质上妨碍了他们及时做出充分响应。

VulnCheck 上周指出："当主流技术供应商未能及时通报新的安全问题，实际上是在向攻击者发出邀请函，同时选择对防护者隐瞒这些信息。