Palo Alto Networks 威脅情報團隊 Unit 42 於二零二六年十月十四日公開研究報告，披露針對電訊託管服務商的多階段入侵：攻擊者先利用 FortiManager 漏洞竊取逾五百台受管 FortiGate 防火牆的設定與密碼學材料，再部署名為 PEERSTITCH 的記憶駐留 ARM64 植入程式。來源真實性已驗證；本文整理官方技術細節、偵測難點，以及對香港與亞洲企業邊緣管理架構的啟示。

Unit 42／官方：揭露 PEERSTITCH——FortiManager 一破，逾五百台 FortiGate 設定與密鑰外流，記憶駐留植入避過常規偵測

電訊與託管場景常見「一台 FortiManager 管多台 FortiGate」的集中式邊緣管理。Unit 42 追蹤的入侵集群 CL-STA-0954（外界亦稱 UNC5820）顯示：當管理平面失守，下游客戶網絡的拓撲、憑證與信任材料可能一併暴露。本文依據 Unit 42 官方報告核對事件背景、技術鏈路與防禦含義，來源真實性已驗證。

一、核心事件：從 FortiJump 到 PEERSTITCH

技術細節

Unit 42 調查的是一宗針對電訊託管服務商、始於二零二四年九月的多階段網絡入侵。攻擊者首先利用 CVE-2024-47575（外界常稱 FortiJump），透過 FortiManager 管理通道 FMG-Access（TCP 541）以未經驗證的遠端請求執行任意命令，拿下集中式 FortiManager 設備。

報告指，攻擊者從該單一裝置外傳壓縮檔，內含運行設定、密碼學材料，以及記載逾五百台受管 FortiGate 防火牆資訊的資料庫——這些防火牆同時保護服務商自身基礎設施及其客戶網絡。Unit 42 強調，調查範圍是服務商環境；客戶網絡是否已被實際入侵並未在本報告中確認，暴露重點是設定與憑證材料。

取得材料後，攻擊者進一步：

• 向下游 FortiGate 下發未授權的嗅探設定，擷取未加密 HTTP 及多個 TCP 服務流量；
• 對外傳設定中以可逆密文保存的管理與 SSL／VPN 密碼進行暴力還原，再以合法憑證建立未授權 SSL／VPN 連入；
• 利用 CVE-2025-61624（FortiOS system.auto-script 路徑遍歷）由管理帳號提升至底層作業系統 root，並部署 PEERSTITCH。

PEERSTITCH 是以 C 編寫、靜態連結 glibc 的 Linux ARM64 可執行檔，作為一次性行程記憶修補注入器，針對 FortiOS 核心守護行程（報告點名 /bin/miglogd 與 /bin/iked）。其特點包括：磁碟上不留持久二進位、不開啟監聽埠、不主動發起傳統對外連線，而是寄生於合法行程產生的流量，使常規端點與網路偵測較難直接命中。

並行地，攻擊者武器化 FortiGate 內建 Apache mod_md（ACME 憑證管理）：將 DNS-01 挑戰映射至 /bin/node，並以持續續期模式驅動惡意挑戰，形成出站反向 Shell 指揮通道。另有跡象顯示攻擊者模擬 FortiManager 身分，以名為 FortiGateCloud 的管理帳號透過 FGFM（TCP 541）自多台受管防火牆下載完整運行設定——受害機構並未開通 FortiManager Cloud 租戶，亦無此帳號正式配置。

二、技術原理深度解析

此戰役的關鍵不在單一「零日」噱頭，而在管理平面信任鏈被整段挪用：

1. 集中管理放大爆炸半徑：FortiManager 掌握下游裝置序號、管理關係與 FGFM 密碼學信任材料。報告指出，這些材料在管理平台被入侵時即隨之外流，且在輪替之前持續有效——「修補平台」並不等於信任材料自動失效。
2. 權限模型落差：FortiOS 管理介面（即使是 super_admin）本質上是受限 CLI；真正以 root 運行的是底層守護行程。CVE-2025-61624 讓已認證管理帳號可經 auto-script 物件名稱路徑遍歷，把腳本寫到任意路徑並以引擎權限執行，從而跨過「管理介面 ≠ 作業系統 root」的邊界。
3. 記憶駐留與跨行程 IPC：PEERSTITCH 在行程記憶中建立隱蔽通訊橋、對靜態偏移寫入 NOP／trampoline，並配置 RWX hook 緩衝。無持久檔案、無監聽埠的設計，迫使防衛方依賴記憶體鑑識、異常 FGFM／ACME 行為與管理平面異常，而非只靠檔案雜湊或對外 C2 黑名單。
4. 合法協定濫用：ACME／mod_md 與 FGFM 皆屬營運必要協定；攻擊者把「憑證續期」與「管理通道」變成持續出站與設定抽取管道，屬於典型的 living-off-the-land 邊緣設備手法。

Unit 42 亦記錄反鑑識措施，並提供專門狩獵表、檔案 SHA-256、網路指標與 YARA 規則，供資安團隊對照。

四、日常應用場景

1. 開發者與技術團隊

若環境使用 Fortinet 邊緣堆疊，應優先核對 FortiManager／FortiOS 對 CVE-2024-47575、CVE-2025-61624 等相關修補狀態；限制 FMG-Access（541）暴露面；對管理平面啟用更嚴格的網路分段與來源允許清單。對可疑 auto-script、異常 ACME 設定、非預期 FortiGateCloud 帳號活動，應納入日誌狩獵。

2. 企業與隱私敏感行業

金融、醫療、法律及電訊託管業者常把客戶流量與管理平面放在同一營運域。此案例說明：客戶資料未必已遭確認入侵，但可逆憑證與裝置信任材料外流已足以構成重大合規與橫向移動風險。應把邊緣管理憑證、裝置證書與 FGFM 信任材料納入「疑遭入侵即輪替」的事故手冊，而非只重灌或只打補丁。

3. 一般用戶

一般消費者較少直接操作 FortiManager；但若公司 VPN、分支防火牆由服務商集中管理，員工應配合資訊部門完成憑證／VPN 設定輪替，並留意異常的強制重新登入或憑證更新通知是否來自官方渠道。

4. 香港與亞洲市場視角

香港與大灣區不少中小企、數據中心與託管商採用 Fortinet 等品牌的集中管理架構，以節省多據點維運成本。Unit 42 的結論直指：對代管他人基礎設施的組織而言，管理平台是網絡上價值最高的目標；失守影響不限於擁有該平台的機構邊界。本地企業宜重新檢視管理介面是否置於零信任隔離區、是否可自公網直連，以及多租戶／多客戶場景下的責任分界與憑證輪替 SLA。

五、專業評價與潛在考量

優勢（就防衛情報價值而言）

• 官方報告提供可核對的 CVE、協定埠、植入行為與狩獵方向，利於 SOC 落地；
• 清楚區分「設定／密鑰暴露」與「客戶網絡已遭確認入侵」，避免過度解讀；
• 凸顯邊緣管理生態系被武器化的趨勢，對零信任與分段架構有實務參考價值。

需要留意的地方

• 入侵本體發生於二零二四年九月，公開於二零二六年十月——防衛方仍須以自身遙測與補丁狀態為準，不能假設「舊案即已過時」；
• 報告未主張已檢查所有客戶網絡；風險溝通應避免把「材料外流」直接等同「客戶已被攻陷」；
• 部分後續管理模擬路徑（例如與 CVE-2024-26008 的關聯）Unit 42 以中等信心陳述，實務調查需保留替代假說；
• 供應商產品防護說明屬 Palo Alto 產品語境；使用其他偵測堆疊的機構仍需自行映射 IOC 與行為特徵。

結語

PEERSTITCH 提醒業界：邊緣防火牆的「管理平面」一旦失守，爆炸半徑可以是數以百計的下游裝置與客戶網絡拓撲。記憶駐留、協定濫用與信任材料外流，令「已修補」不足以自動等同「已清場」。香港企業若正強化雲端遷移、分段與零信任，可參考 YSK Limited 的雲端遷移與網絡安全服務（官網刊 99.99% SLA：https://ysk.hk/services/cloud-security）；本地推論與閘道相關實務亦可搭配開源 YSK Omni v1.0.4、契約優先支架 YSK Kit v1.6.0，以及外判方案所含 VPS 預裝的 YSK Server v1.1.28，把管理平面監控與私有部署邊界一併納入日常維運。

參考來源

1. Unit 42（Palo Alto Networks），“Unit 42 Uncovers PEERSTITCH, a Stealthy FortiGate Implant”，2026-10-14：https://unit42.paloaltonetworks.com/fortimanager-cve-2024-47575-peerstitch-malware/
2. 發現來源：Palo Alto Unit 42 RSS（ysk-blog-ops 鎖定清單 paloalto_unit42）