Cyber alert per PMI svizzere: FortiGate – falla amministrativa sfruttata attivamente consente l’accesso root
I firewall FortiGate sono ampiamente utilizzati dalle piccole e medie imprese, direttamente o tramite un fornitore IT. Dal 16 ottobre 2026 la CISA include CVE-2025-61624 nel catalogo delle vulnerabilità sfruttate attivamente; la falla può consentire a un amministratore FortiOS già privilegiato di ottenere il controllo root del dispositivo.
Non si tratta di un attacco senza autenticazione. Se la vostra azienda usa FortiGate, chiedete ora al fornitore IT di controllare la versione di FortiOS, gli accessi privilegiati e gli eventuali segnali di compromissione.
Che cosa è successo?
Fortinet descrive CVE-2025-61624 come una vulnerabilità di path traversal nell’interfaccia a riga di comando di FortiOS e di altri prodotti. Un attaccante autenticato con un account amministrativo privilegiato e permessi di scrittura può utilizzarla per scrivere o eliminare file arbitrari.
Il 14 ottobre 2026 Unit 42 ha pubblicato i dettagli di un’intrusione analizzata. Dopo una precedente compromissione di FortiManager e l’accesso a credenziali valide, gli attaccanti hanno sfruttato CVE-2025-61624 per passare dall’amministrazione FortiOS limitata ai privilegi root e distribuire PEERSTITCH, un impianto residente in memoria. La CISA ha aggiunto la vulnerabilità al catalogo KEV il 16 ottobre 2026.
La mia azienda potrebbe essere interessata?
Sì, se la vostra azienda o il suo fornitore IT gestisce firewall FortiGate con una versione vulnerabile di FortiOS. Sono interessate le versioni FortiOS da 7.6.0 a 7.6.4, da 7.4.0 a 7.4.9 e tutte le versioni dei rami 7.2, 7.0 e 6.4. Anche FortiPAM, FortiProxy e FortiSwitchManager sono interessati; gli intervalli esatti sono indicati nell’avviso Fortinet.
Lo sfruttamento richiede già un account amministrativo privilegiato. La verifica è quindi particolarmente importante per i firewall gestiti centralmente tramite FortiManager o da un fornitore esterno, nonché in presenza di accessi amministrativi sospetti o di precedenti incidenti Fortinet.
Che cosa fare adesso?
Incaricate oggi il vostro fornitore IT di effettuare un inventario, verificare le versioni e cercare possibili compromissioni. FortiOS 7.6 deve essere aggiornato almeno alla versione 7.6.5 e FortiOS 7.4 almeno alla 7.4.10. I sistemi 7.2, 7.0 o 6.4 devono essere migrati a una versione corretta e supportata secondo le indicazioni di Fortinet.
È inoltre necessario esaminare account privilegiati, percorsi di gestione centralizzata e registri degli eventi per individuare modifiche anomale. Se FortiManager, credenziali amministrative o materiale crittografico di fiducia potrebbero essere stati esposti, il solo aggiornamento del firmware non basta: servono un’indagine di risposta all’incidente e il rinnovo controllato delle credenziali, delle chiavi e dei certificati interessati.
Quanto è urgente?
Urgenza elevata per i sistemi FortiGate interessati, soprattutto se gestiti centralmente o se vi sono indizi di abuso degli accessi amministrativi. La vulnerabilità ha un punteggio CVSS medio di 5.4, ma viene effettivamente utilizzata in attacchi reali per ottenere privilegi root. Non è un attacco autonomo senza autenticazione: l’attaccante deve già disporre di un accesso FortiOS privilegiato.
Informazioni per il fornitore IT
CVE-2025-61624, CWE-22, CVSS v3.1: 5.4. Percorso di attacco: amministratore FortiOS autenticato e privilegiato con almeno permessi di scrittura → path traversal in system.auto-script o in comandi CLI esistenti → scrittura o eliminazione arbitraria di file come root.
Rami FortiOS corretti: 7.6.5 o successivo e 7.4.10 o successivo; i rami vulnerabili più vecchi devono essere migrati a una versione corretta. Per FortiProxy: 7.6.5 o successivo oppure 7.4.12 o successivo; per FortiPAM: 1.8.0 o successivo oppure 1.7.1 o successivo; per FortiSwitchManager: 7.2.8 o successivo oppure 7.0.7 o successivo. La verifica della compromissione deve includere gli indicatori e le indicazioni di rilevamento di Unit 42 relativi a PEERSTITCH.
