सीआईएसए की 19 अक्टूबर की पैच डेडलाइन के बीच मॉर्गन स्टैनले ने फोर्टिनेट की रेटिंग घटाई; चोरी हुई चाबियां आज भी 500 से ज्यादा फायरवॉल खोल सकती हैं
सीआईएसए (CISA) ने अमेरिकी संघीय एजेंसियों को फोर्टिनेट की खामी CVE-2025-61624 पैच करने के लिए 19 अक्टूबर तक का समय दिया है। यूनिट 42 के मुताबिक इसी पाथ ट्रैवर्सल (path traversal) खामी के जरिए पीयरस्टिच (PEERSTITCH) इम्प्लांट पहुंचाया गया — और उससे पहले के इस हमले में 500 से ज्यादा फोर्टीगेट फायरवॉल की कॉन्फिगरेशन, चाबियां और क्रेडेंशियल्स चोरी हो चुकी थीं। फोर्टिनेट 28 अक्टूबर को तीसरी तिमाही की बिलिंग्स (billings) घोषित करेगा, और यही इंस्टॉल्ड बेस (installed base) तेजी के तर्क (bull case) की बुनियाद भी है और कंपनी की देयता भी।
Vincent Jiang · 3 min read
16 अक्टूबर 2026 को साइबर सिक्योरिटी एंड इंफ्रास्ट्रक्चर सिक्योरिटी एजेंसी (CISA) ने अमेरिकी संघीय एजेंसियों को फोर्टिनेट की खामी CVE-2025-61624 पैच करने के लिए तीन दिन का समय दिया, और जो सिस्टम पहले से उजागर हो चुके हैं उन पर फोरेंसिक ट्राइएज (forensic triage) अनिवार्य कर दिया 1। उसी दिन मॉर्गन स्टैनले ने शेयर की रेटिंग घटाकर अंडरवेट कर दी, और फोर्टिनेट का शेयर करीब 7 फीसदी गिरकर 169.13 डॉलर पर बंद हुआ 23। बाजार की उस दिन की समीक्षा रिपोर्टों ने यह गिरावट पैलो ऑल्टो नेटवर्क्स की PAN-OS खामी से शुरू हुई सेक्टर-व्यापी बिकवाली के हिस्से में दर्ज कर दी और कहा कि फोर्टिनेट−7.60% — फोर्टिनेट, down 7.60 percent today की तरफ से कोई नकारात्मक, कंपनी-विशेष खबर नहीं है 24। कंपनी-विशेष खबर दो दिन पुरानी थी।
एक उपकरण ने 500 फायरवॉल हमलावरों के हवाले कर दिए
फोर्टिनेट के सबसे बड़े प्रतिद्वंद्वी पैलो ऑल्टो नेटवर्क्स−8.15% — पैलो ऑल्टो नेटवर्क्स, down 8.15 percent today की थ्रेट रिसर्च इकाई यूनिट 42 ने 14 अक्टूबर को पूरा ब्योरा जारी किया 5। घुसपैठ की शुरुआत सितंबर 2024 में एक टेलीकॉम मैनेज्ड सर्विस प्रोवाइडर (managed service provider) से हुई थी। रास्ता एक फोर्टीमैनेजर (FortiManager) में मौजूद फोर्टीजंप (FortiJump) खामी (CVE-2024-47575) थी — यही वह उपकरण है जो फोर्टीगेट फायरवॉल को केंद्र से प्रबंधित करता है। हमलावर वहां से 500 से ज्यादा प्रबंधित फोर्टीगेट की चालू कॉन्फिगरेशन (running configurations), प्राइवेट कीज (private keys) और क्रेडेंशियल्स (credentials) लेकर निकल गए। यूनिट 42 ने पुष्टि की कि ये पासवर्ड वापस निकाले जा सकते हैं 5। इसके बाद फोर्टीओएस (FortiOS) के ऑटो-स्क्रिप्ट इंजन की पाथ ट्रैवर्सल खामी CVE-2025-61624 ने हमलावरों को एडमिनिस्ट्रेटर एक्सेस से रूट (root) एक्सेस तक पहुंचा दिया, ताकि वे पीयरस्टिच (PEERSTITCH) उतार सकें — यह इम्प्लांट (implant) सिर्फ मेमोरी में रहता है और टैग किए गए VPN सेशन को फोर्टीओएस की सुरक्षा जांचों के पार आगे बढ़ा देता है 5। फोर्टिनेट ने यह खामी 14 अप्रैल 2026 को पैच की और इसे मध्यम (medium) श्रेणी में रखा — अपनी गणना में CVSS 6.0, जबकि एनआईएसटी के हिसाब से 6.5 67। एडवाइजरी में अब 'Known Exploited: Yes' (खामी का दुरुपयोग दर्ज: हां) लिखा है, और फोर्टीओएस 7.2, 7.0 और 6.4 के लिए कोई फिक्स नहीं है — सिर्फ माइग्रेशन (migration) का रास्ता 6।
दो बैंक, एक ही इंस्टॉल्ड बेस
13 अक्टूबर को टीडी कोवेन ने फोर्टिनेट पर अपना टारगेट प्राइस 215 डॉलर से बढ़ाकर 225 डॉलर कर दिया। फर्म ने इसकी वजह एआई और डेटा सेंटर से आने वाली मांग और साल की दूसरी छमाही में 20 फीसदी से ऊपर राजस्व ग्रोथ बताई 8। तीन दिन बाद मॉर्गन स्टैनले−0.77% — मॉर्गन स्टैनले, down 0.77 percent today ने अंडरवेट रेटिंग देते हुए कहा कि फायरवॉल रिफ्रेश का पूल उम्मीद से छोटा दिख रहा है 2। दोनों दलीलें एक ही फायरवॉल बेड़े से होकर गुजरती हैं।
टीडी कोवेन का अक्टूबर टारगेट स्ट्रीट मीडियन से 110 डॉलर ऊपर
Data
| Value | |
|---|---|
| एवरकोर आईएसआई, 7 मई | $100 |
| सस्कुएहैना, 8 मई | $115 |
| सिटीग्रुप, 8 मई | $115 |
| बीटीआईजी, 26 मई | $150 |
| बार्कलेज, 12 जून | $155 |
| टीडी कोवेन, 8 जून | $160 |
| बैंक ऑफ अमेरिका, 8 जून | $180 |
| टीडी कोवेन, 13 अक्टूबर | $225 |
दूसरी तिमाही का राजस्व 25.6 फीसदी बढ़कर 2.048 अरब डॉलर हुआ, प्रोडक्ट राजस्व 52 फीसदी बढ़ा। मैनेजमेंट ने 2026 की गाइडेंस बढ़ा दी — राजस्व 8.02 से 8.18 अरब डॉलर और बिलिंग्स 9.35 से 9.55 अरब डॉलर 91011। तीसरी तिमाही की गाइडेंस राजस्व 2.01 से 2.10 अरब डॉलर और बिलिंग्स 2.25 से 2.35 अरब डॉलर है; नतीजों का ऐलान 28 अक्टूबर को होगा, यानी पैच डेडलाइन के नौ दिन बाद 210।
फोर्टिनेट की राजस्व बढ़त दूसरी तिमाही 2026 में फिर तेज हुई — 25.6 फीसदी
Data
| राजस्व | |
|---|---|
| तिमाही-3 '23 | $1.34B |
| तिमाही-4 '23 | $1.42B |
| तिमाही-1 '24 | $1.35B |
| तिमाही-2 '24 | $1.43B |
| तिमाही-3 '24 | $1.51B |
| तिमाही-4 '24 | $1.66B |
| तिमाही-1 '25 | $1.54B |
| तिमाही-2 '25 | $1.63B |
| तिमाही-3 '25 | $1.73B |
| तिमाही-4 '25 | $1.91B |
| तिमाही-1 '26 | $1.85B |
| तिमाही-2 '26 | $2.05B |
इंसाइडरों ने पूरी तेजी में बेचा, कभी खरीदा नहीं
क्विवर क्वांटिटेटिव की गिनती बताती है कि छह महीने में ओपन मार्केट में इंसाइडरों की 39 बिकवालियां दर्ज हुईं — और खरीद शून्य। संस्थापक और सीईओ केन ज़ी ने 3,27,469 शेयर करीब 5.01 करोड़ डॉलर में बेचे, जबकि सीओओ जॉन व्हिटल ने करीब 94 लाख डॉलर के शेयर बेचे 2। शेयर ने 12 अक्टूबर तक इस साल 144.7 फीसदी की चढ़ाई दर्ज की थी और 14 अक्टूबर को 184.05 डॉलर के स्तर पर पहुंचा था। हफ्ते का समापन 169.13 डॉलर पर हुआ 1083। चढ़ते दामों में बिकवाली अपने-आप में बहुत कुछ साबित नहीं करती। असली पैटर्न शून्य खरीद है।
जो गड़बड़ पैच ठीक नहीं करता
यूनिट 42 की रिपोर्ट में दायरे को लेकर लिखी बात पर भी उतना ही ध्यान देना चाहिए: जांचकर्ताओं ने सिर्फ उस मैनेज्ड सर्विस प्रोवाइडर के एनवायरनमेंट की जांच की थी। क्लाइंट नेटवर्क में कॉन्फिगरेशन और क्रेडेंशियल्स उजागर मिले थे, घुसपैठ की पुष्टि नहीं हुई 5। अप्रैल का पैच और अक्टूबर में लगा 'ज्ञात रूप से शोषित' (Known Exploited) फ्लैग तेजी का तर्क (bull case) का खाका भी तैयार करते हैं, क्योंकि एक्सपोज़र से वह फायरवॉल रिफ्रेश मजबूरी बन जाता है जिसकी उम्मीद टीडी कोवेन को है 6। चेतावनी भी इसी रिपोर्ट में है: मैनेजमेंट प्लेटफॉर्म से चोरी हुआ ट्रस्ट मटेरियल तब तक मान्य रहता है जब तक उसके दायरे में आने वाला हर डिवाइस उसे रोटेट (बदल) नहीं करता। यानी प्लेटफॉर्म पैच होते ही कंप्रोमाइज़ खत्म नहीं हो जाता 5। चाबियां सितंबर 2024 में ही निकल गई थीं — और जब तक कोई ताले नहीं बदलता, वे आज भी दरवाज़े खोलती हैं।
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
