Fortinet: aggiornamenti urgenti fuori ciclo, dettagli a novembre

Il 22 ottobre 2026 Fortinet ha annunciato una Security Hardening Release: un rilascio di aggiornamenti fuori dal calendario abituale che corregge vulnerabilità di gravità critica e alta in diversi prodotti, tra cui FortiOS, FortiManager e FortiAnalyzer. I dettagli tecnici non ci sono ancora: secondo l’avviso di INCIBE-CERT, i bollettini con identificativi CVE, punteggi CVSS e impatto delle singole falle usciranno il 10 novembre 2026. Nel frattempo il produttore chiede di aggiornare subito, a partire dai dispositivi esposti su Internet.

Cosa è successo

Secondo CERT.LV e INCIBE-CERT, le vulnerabilità sono emerse dalle verifiche di sicurezza proattive che Fortinet svolge sui propri prodotti, con test assistiti dall’intelligenza artificiale. L’annuncio è stato ripreso nel giro di un giorno da diversi CSIRT nazionali: il CERT lettone, il CCB belga (che nel titolo chiede di applicare le patch immediatamente), INCIBE-CERT in Spagna, che classifica l’avviso con importanza 5, «critica», e lo segna come preliminare, e il Canadian Centre for Cyber Security con l’avviso AV26-1081. heise Security parla di aggiornamenti urgenti fuori dalla consueta cadenza.

Il quadro dei prodotti non è identico in tutte le fonti:

• CERT.LV cita solo FortiOS, FortiManager e FortiAnalyzer;
• INCIBE-CERT e il centro canadese aggiungono FortiMail e FortiAuthenticator, con le versioni colpite e quelle corrette;
• INCIBE-CERT segnala che l’annuncio riguarda anche FortiSASE, FortiManager Cloud e le installazioni nei cloud pubblici, senza indicare versioni.

Nessuna delle fonti riporta, finora, uno sfruttamento attivo delle vulnerabilità.

Versioni colpite e versioni corrette

Le versioni coincidono negli avvisi di INCIBE-CERT e del Canadian Centre for Cyber Security. Attenzione al ramo 7.4: per FortiOS la versione corretta è la 7.4.13, per FortiManager e FortiAnalyzer la 7.4.12.

Prodotto	Versioni colpite	Versione corretta (o successiva)
FortiOS	8.0.0–8.0.1 · 7.6.0–7.6.7 · 7.4.0–7.4.12 · 7.2.0–7.2.13	8.0.2 · 7.6.8 · 7.4.13 · 7.2.14
FortiManager e FortiAnalyzer	8.0.0–8.0.1 · 7.6.0–7.6.7 · 7.4.0–7.4.11 · 7.2.0–7.2.12	8.0.2 · 7.6.8 · 7.4.12 · 7.2.13
FortiMail	8.0.0–8.0.1 · 7.6.0–7.6.6 · 7.4.0–7.4.8 · 7.2.0–7.2.9	8.0.2 · 7.6.7 · 7.4.9 · ramo 7.2: nessuna correzione
FortiAuthenticator	8.0.0–8.0.3 · 6.6.0–6.6.10	8.0.4 · 6.6.11

Per FortiMail 7.2 non c’è una correzione nel ramo: il centro canadese indica il passaggio al ramo 7.4 o successivo. Per i servizi in cloud, INCIBE-CERT riporta che FortiSASE riceverà l’aggiornamento in automatico, che FortiManager Cloud può richiedere un aggiornamento manuale e che per le istanze nei cloud pubblici va seguita la procedura del fornitore.

Cosa si sa e cosa no

Mancano, per ora, le informazioni che di solito servono a valutare il rischio: quante sono le vulnerabilità, quali componenti toccano, il vettore d’attacco, se serve autenticazione, i punteggi. Per questo non è possibile indicare tecniche MITRE ATT&CK né indicatori di compromissione. Due elementi però aiutano a fissare le priorità:

• tutte le raccomandazioni degli enti riguardano le interfacce di gestione raggiungibili via HTTPS e SSH e gli account amministrativi;
• INCIBE-CERT chiede in modo esplicito di non esporre FortiManager su Internet.

L’obiettivo pratico è arrivare al 10 novembre con gli apparati già aggiornati, come chiedono il produttore e gli enti, e ricontrollare tutto quando i bollettini saranno pubblici.

Impatto per le aziende europee e italiane

I prodotti coinvolti occupano punti centrali della rete: FortiOS è il sistema dei firewall FortiGate, spesso al confine tra rete aziendale e Internet; FortiManager e FortiAnalyzer ne centralizzano configurazioni e log; FortiAuthenticator gestisce l’autenticazione e FortiMail la posta. Una vulnerabilità critica su uno di questi sistemi può riguardare l’intero perimetro o l’intera flotta di apparati gestiti.

Per i soggetti NIS2, in Italia regolati dal D.Lgs. 138/2024, la gestione tempestiva delle vulnerabilità e degli aggiornamenti fa parte delle misure di sicurezza richieste: conviene documentare inventario, decisioni e tempi di intervento. Nella sanità, dove i firewall proteggono anche reti con dispositivi medici e sistemi clinici, l’aggiornamento va pianificato con finestre di manutenzione brevi ma ravvicinate, senza aspettare i dettagli di novembre.

Cosa fare subito

1. Fai l’inventario: individua tutti gli apparati FortiOS, FortiManager, FortiAnalyzer, FortiMail e FortiAuthenticator con la versione installata, comprese le istanze nei cloud pubblici e FortiManager Cloud.
2. Aggiorna alle versioni indicate nella tabella, o successive dello stesso ramo, cominciando dai dispositivi esposti su Internet.
3. Salva la configurazione prima di ogni aggiornamento, come raccomanda INCIBE-CERT.
4. Se non puoi aggiornare subito: limita l’accesso alle interfacce di gestione HTTPS e SSH ai soli indirizzi fidati, attiva l’autenticazione a più fattori sugli account amministrativi e togli FortiManager da Internet.
5. FortiMail 7.2: pianifica la migrazione al ramo 7.4 o successivo.
6. Servizi in cloud: verifica che l’aggiornamento automatico di FortiSASE sia avvenuto, controlla se FortiManager Cloud richiede un intervento manuale e segui la procedura del fornitore per le istanze nei cloud pubblici.
7. Il 10 novembre leggi i bollettini: ricontrolla versioni e configurazioni alla luce delle CVE pubblicate e rivedi i log degli accessi amministrativi.

Come aiuta ARXDOME

ARX Sentry ha pagine dedicate ai firewall con lo stato del firmware, utili per vedere subito quali apparati sono ancora da aggiornare. ARX Expose mostra cosa la tua azienda espone su Internet, con porte aperte e prodotti riconosciuti, e ARX Scout verifica in prima persona porte e servizi dei tuoi indirizzi pubblici, avvisandoti quando si apre un servizio prima chiuso: insieme aiutano a scoprire un’interfaccia di gestione raggiungibile da fuori. ARX Radar, infine, segnala chi sta attaccando il perimetro in questo momento, per esempio con tentativi di forza bruta sui servizi esposti.

Ultimo aggiornamento: 23 ottobre 2026