Fortinet : cette injection SQL dans FortiWeb ouvre la porte à l’exécution de commandes malveillantes
Une nouvelle faille de sécurité critique a été découverte FortiWeb, la solution WAF de chez Fortinet. Quels sont les risques liés à cette injection SQL ? Comment se protéger ? Faisons le point.
CVE-2025-25257 : une injection SQL dans FortiWeb
Fortinet, spécialiste des solutions de cybersécurité, a récemment publié un bulletin de sécurité pour alerter sur la découverte d'une nouvelle vulnérabilité dans FortiWeb, son pare-feu applicatif web (WAF). Associée à la référence CVE-2025-25257 et à un score CVSS v3 de 9.6 sur 10, il s'agit d'une injection SQL au niveau de l'interface de gestion Web de la solution.
Dans son bulletin daté du 8 juillet 2025, Fortinet précise que cette faille de sécurité "peut permettre à un attaquant non authentifié d'exécuter du code ou des commandes SQL non autorisées via des requêtes HTTP ou HTTPs élaborées." - Les risques sont importants : un attaquant pourrait aller jusqu'à prendre le contrôle de l'instance FortiWeb.
Précision importante : cette vulnérabilité n'est pas une faille de sécurité zero-day. Elle n'a pas été divulguée avant la publication par Fortinet et elle n'est pas exploitée, en tout cas pour le moment. Compte tenu de sa criticité et de la popularité des produits Fortinet, il n'est pas à exclure que la situation évolue rapidement.
Surtout, l’exploitation de cette faille ne nécessite aucune authentification, ce qui en fait une cible idéale pour des attaques automatisées à grande échelle. Les instances FortiWeb dont l'interface de gestion est exposée sur Internet sont particulièrement vulnérables.
Comment se protéger ?
La CVE-2025-25257 affecte plusieurs branches de versions de FortiWeb. Fortinet a publié de nouvelles versions pour patcher cette faille de sécurité. Ce qui donne le récapitulatif suivant :
| Version | Versions affectées | Solution |
|---|---|---|
| FortiWeb 7.6 | 7.6.0 à 7.6.3 | Mise à jour vers la version 7.6.4 ou supérieure |
| FortiWeb 7.4 | 7.4.0 à 7.4.7 | Mise à jour vers la version 7.4.8 ou supérieure |
| FortiWeb 7.2 | 7.2.0 à 7.2.10 | Mise à jour vers la version 7.2.11 ou supérieure |
| FortiWeb 7.0 | 7.0.0 à 7.0.10 | Mise à jour vers la version 7.0.11 ou supérieure |
Fortinet recommande aux administrateurs concernés de mettre à jour leur système. À défaut, et en guise de solution d'atténuation, l'éditeur conseille de désactiver l’interface d’administration HTTP/HTTPS.
