On November 14, 2025, Fortinet disclosed the critical vulnerability CVE-2025-64446 (CVSS 9.1) affecting FortiWeb, its web application firewall. The flaw is a relative path traversal vulnerability (CWE-23) that allows unauthenticated attackers to execute administrative commands on the system through specially crafted HTTP or HTTPS requests. Fortinet confirmed that the vulnerability is being actively exploited in the wild, while security researchers have identified malicious activity dating back to early October 2025.

Exploitation of the vulnerability allows attackers to create administrative accounts on compromised FortiWeb devices, gaining complete control over affected systems. Security researchers from watchTowr identified indiscriminate exploitation of the flaw and successfully reproduced the attack, developing a functional proof-of-concept. The vulnerability combines two distinct flaws that work together to bypass authentication controls: first, it exploits a path traversal weakness in the FortiWeb API to access the underlying CGI executable (fwbcgi); then, it allows the execution of administrative commands without requiring valid credentials. According to Rapid7, exploitation attempts have been observed since at least early October, and an exploit was published for sale on black hat forums on November 6, 2025.

CISA (U.S. Cybersecurity and Infrastructure Security Agency) added CVE-2025-64446 to its Known Exploited Vulnerabilities (KEV) catalog on November 14, establishing a remediation deadline of November 21, 2025 for federal agencies. According to watchTowr, approximately 80,000 FortiWeb devices are connected to the internet, representing a significant attack surface. The active and indiscriminate exploitation, combined with the criticality of the vulnerability and the large base of exposed devices, makes this incident a high-priority threat for organizations using FortiWeb.

Fortinet divulgó el 14 de noviembre de 2025 la vulnerabilidad crítica CVE-2025-64446 (CVSS 9.1) que afecta a FortiWeb, su firewall de aplicaciones web. La falla consiste en una vulnerabilidad de path traversal relativo (CWE-23) que permite que atacantes no autenticados ejecuten comandos administrativos en el sistema a través de solicitudes HTTP o HTTPS especialmente manipuladas. Fortinet confirmó que la vulnerabilidad está siendo activamente explotada en ambiente real, mientras que investigadores de seguridad han identificado actividad maliciosa desde principios de octubre de 2025.

La explotación de la vulnerabilidad permite que atacantes creen cuentas administrativas en los dispositivos FortiWeb comprometidos, obteniendo control total sobre los sistemas afectados. Investigadores de seguridad de watchTowr identificaron explotación indiscriminada de la falla y lograron reproducir el ataque, desarrollando un proof-of-concept funcional. La vulnerabilidad combina dos fallas distintas que trabajan en conjunto para eludir los controles de autenticación: primero, explota una debilidad de path traversal en la API de FortiWeb para acceder al ejecutable CGI subyacente (fwbcgi); luego, permite la ejecución de comandos administrativos sin necesidad de credenciales válidas. Según Rapid7, se observaron intentos de explotación desde al menos principios de octubre, y un exploit fue publicado para la venta en foros de black hat el 6 de noviembre de 2025.

CISA (Agencia de Seguridad Cibernética e Infraestructura de EE.UU.) añadió CVE-2025-64446 a su catálogo de Vulnerabilidades Conocidas Explotadas (KEV) el 14 de noviembre, estableciendo un plazo de remediación hasta el 21 de noviembre de 2025 para agencias federales. Según watchTowr, aproximadamente 80.000 dispositivos FortiWeb están conectados a internet, representando una superficie de ataque significativa. La explotación activa e indiscriminada, combinada con la criticidad de la vulnerabilidad y la amplia base de dispositivos expuestos, convierte este incidente en una amenaza de alta prioridad para organizaciones que utilizan FortiWeb.