Fortinet FortiOS e FortiProxy: CVE-2025-61624 sfruttata (KEV)

Il 16 ottobre 2026 la CISA ha aggiunto al catalogo Known Exploited Vulnerabilities (KEV) la CVE-2025-61624, una vulnerabilità di tipo path traversal che riguarda diversi prodotti Fortinet: FortiOS, il sistema operativo dei firewall FortiGate, FortiProxy, FortiPAM e FortiSwitchManager. Il catalogo KEV raccoglie le vulnerabilità di cui la CISA ha prove di sfruttamento attivo.

Secondo la descrizione della scheda NVD, la vulnerabilità permette a un attaccante autenticato, con un profilo di amministratore e almeno i permessi di lettura e scrittura, di scrivere o cancellare file arbitrari sul sistema tramite specifici comandi della CLI.

Cosa è successo

La vulnerabilità non è nuova: la scheda NVD è stata pubblicata il 14 aprile 2026, con il riferimento al bollettino di Fortinet FG-IR-26-122. La novità è l’ingresso nel catalogo KEV, che segnala lo sfruttamento in attacchi reali.

La CISA ha registrato la vulnerabilità come “Fortinet Multiple Products Path Traversal Vulnerability” e ha fissato al 19 ottobre 2026 la scadenza per le agenzie federali statunitensi: tre giorni, un termine molto breve. L’uso in campagne ransomware è indicato come “sconosciuto”.

L’avviso chiede di applicare le mitigazioni secondo le istruzioni del produttore, nel rispetto della direttiva BOD 26-04 sulla priorità degli aggiornamenti in base al rischio e dei requisiti di triage forense della CISA. Se le mitigazioni non sono disponibili, il prodotto va dismesso. L’avviso chiede anche di valutare l’esposizione su Internet di ogni sistema.

Nel catalogo non ci sono dettagli sugli attacchi osservati, sugli autori o sulle vittime.

Dettagli tecnici

• CVE: CVE-2025-61624, scheda NVD analizzata e aggiornata il 16 ottobre 2026.
• Debolezza: CWE-22, limitazione impropria di un percorso a una cartella riservata (path traversal).
• Prerequisito: un account con profilo di amministratore e almeno i permessi di lettura e scrittura.
• Effetto: scrittura o cancellazione di file arbitrari tramite specifici comandi della CLI.
• Gravità: le due valutazioni CVSS 3.1 sono entrambe di livello medio, ma differiscono nel vettore d’attacco.
  • Fortinet assegna 6.0, AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H, con vettore locale;
  • NVD assegna 6.5, AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H, con vettore di rete.
  • In entrambi i casi servono privilegi elevati e l’impatto è alto su integrità e disponibilità, nullo sulla riservatezza.
• Versioni colpite (descrizione della scheda NVD):
  • FortiOS dalla 7.6.0 alla 7.6.4 e dalla 7.4.0 alla 7.4.9; tutte le versioni dei rami 7.2, 7.0 e 6.4;
  • FortiPAM 1.7.0 e tutte le versioni dei rami dall’1.0 all’1.6;
  • FortiProxy dalla 7.6.0 alla 7.6.4 e dalla 7.4.0 alla 7.4.11; tutte le versioni dei rami 7.2 e 7.0;
  • FortiSwitchManager dalla 7.2.0 alla 7.2.7 e dalla 7.0.0 alla 7.0.6.
• Prime versioni non colpite secondo gli intervalli della scheda NVD: FortiOS 7.4.10 e 7.6.5, FortiPAM 1.7.1, FortiProxy 7.4.12 e 7.6.5, FortiSwitchManager 7.0.7 e 7.2.8. Per i rami indicati come “tutte le versioni” la scheda non riporta una versione corretta nello stesso ramo.
• Altri prodotti: la scheda NVD elenca anche il firmware di Siemens RUGGEDCOM APE1808, con il bollettino Siemens SSA-975644.
• Riferimenti: oltre ai bollettini di Fortinet e Siemens, la scheda NVD cita un’analisi di Unit 42 (Palo Alto Networks) sulla CVE-2024-47575 di FortiManager e sul malware PeerStitch. La scheda non spiega il legame con questa vulnerabilità.

Impatto per le aziende europee e italiane

I prodotti colpiti sono spesso al centro della rete: firewall, proxy, gestione degli accessi privilegiati e gestione degli switch. Chi scrive o cancella file su questi apparati può alterarne il funzionamento e l’integrità, come indicano i vettori CVSS.

La vulnerabilità richiede un account amministrativo con permessi di scrittura: lo sfruttamento presuppone quindi che l’attaccante disponga già di queste credenziali o di un accesso equivalente. Il punteggio medio non deve far abbassare la guardia: la CISA ha prove di sfruttamento attivo e ha fissato un termine di tre giorni.

Per i soggetti che rientrano nella NIS2, la compromissione di un firewall o di un sistema di gestione degli accessi privilegiati è un incidente da valutare per la notifica al CSIRT nazionale, che in Italia è lo CSIRT Italia dell’ACN. Lo stesso vale per le strutture sanitarie, dove questi apparati proteggono reti che trattano dati personali e clinici.

Cosa fare subito

1. Fai l’inventario: individua tutti gli apparati con FortiOS, FortiProxy, FortiPAM e FortiSwitchManager, fisici e virtuali, con la versione installata. Se usi Siemens RUGGEDCOM APE1808, consulta il bollettino SSA-975644.
2. Aggiorna: segui il bollettino Fortinet FG-IR-26-122 per la versione corretta del tuo ramo. Secondo la scheda NVD le prime versioni non colpite sono FortiOS 7.4.10 e 7.6.5, FortiPAM 1.7.1, FortiProxy 7.4.12 e 7.6.5, FortiSwitchManager 7.0.7 e 7.2.8. Per i rami in cui tutte le versioni sono colpite, verifica nel bollettino il percorso di migrazione.
3. Se non puoi aggiornare, applica le mitigazioni indicate dal produttore. Se non ce ne sono, la CISA indica di dismettere il prodotto.
4. Valuta l’esposizione, come chiede l’avviso della CISA: controlla da quali reti sono raggiungibili le interfacce di amministrazione degli apparati.
5. Controlla gli amministratori: come buona pratica generale, dato il prerequisito della vulnerabilità, verifica gli account con profilo di amministratore e permessi di scrittura e togli quelli che non servono.
6. Cerca tracce: esamina i log delle attività amministrative e dei comandi CLI alla ricerca di accessi e operazioni inattese. Se trovi tracce, tratta l’apparato come compromesso, segui le indicazioni di Fortinet e valuta gli obblighi di notifica.

Come aiuta ARXDOME

ARX Sentry raccoglie in un collettore centrale i log dei firewall e degli altri dispositivi di rete e offre pagine dedicate ai firewall, con lo stato del firmware: aiuta a capire quali apparati sono da aggiornare e a tenere sotto controllo accessi e attività anomale. ARX Expose mostra quali servizi la tua azienda espone su Internet, i prodotti riconosciuti e le loro vulnerabilità note. Con ARX Horizon puoi consultare dal portale i dettagli delle vulnerabilità.

Ultimo aggiornamento: 16 ottobre 2026