Vai al contenuto
Tutti gli articoli

· di NetProtector Security Team

Fortinet: la vulnerabilità del FortiCloud SSO colpisce anche FortiGate già aggiornati

Illustrazione: una chiave di accesso proveniente dal cloud apre le serrature di diversi firewall altrui, mentre vengono creati nuovi account amministratore

Chi registra il proprio FortiGate su FortiCare spesso attiva, quasi senza accorgersene, una funzione comoda: l'accesso amministrativo tramite FortiCloud Single Sign-On. Proprio attraverso questa funzione, di recente, alcuni attaccanti sono riusciti ad accedere come amministratori a firewall altrui, anche su dispositivi su cui erano stati installati tutti gli aggiornamenti di dicembre. Fortinet ha pubblicato la vulnerabilità CVE-2026-24858 il 27 gennaio 2026 e lo stesso giorno l'agenzia statunitense CISA l'ha inserita nel proprio catalogo delle vulnerabilità attivamente sfruttate.

Di cosa si tratta

FortiCloud SSO consente di accedere direttamente all'interfaccia di gestione di un FortiGate registrato utilizzando l'account FortiCloud. Di fabbrica la funzione è disattivata. Al momento della registrazione del dispositivo, però, viene attivata, a meno che l'amministratore non disattivi esplicitamente l'opzione „Allow administrative login using FortiCloud SSO“. L'errore: un attaccante con un proprio account FortiCloud e un proprio dispositivo registrato poteva così accedere anche a dispositivi appartenenti ad altri account.

I dati principali secondo l'advisory Fortinet FG-IR-26-060 del 27 gennaio 2026:

  • Gravità: critica, CVSS 9.8 nell'advisory attuale. Nei primi report si parlava di 9.4: si tratta del punteggio temporale, che tiene conto dello stato di sfruttamento e della disponibilità della patch.
  • Prodotti interessati: FortiOS da 7.0 a 7.6 (fino alle versioni 7.6.5, 7.4.10, 7.2.12 e 7.0.18 incluse) e FortiProxy da 7.0 a 7.6. Sono interessati anche FortiManager, FortiAnalyzer, FortiWeb e FortiSwitchManager. Non sono interessati FortiOS 8.0 e 6.4, né le installazioni che utilizzano un proprio identity provider, ad esempio FortiAuthenticator.
  • Corretta in: FortiOS 7.6.6, 7.4.11, 7.2.13 e 7.0.19 e FortiProxy 7.6.5, 7.4.13, 7.2.16 e 7.0.23. Gli aggiornamenti sono stati rilasciati in modo scaglionato nei giorni successivi all'advisory.
  • Prerequisiti per l'attacco: un account FortiCloud con un dispositivo registrato da parte dell'attaccante e l'accesso FortiCloud SSO attivato sul dispositivo bersaglio. L'attaccante non ha bisogno delle credenziali della vittima.
  • Conseguenza: accesso amministrativo al firewall, e quindi alla sua configurazione, ai suoi account e alle sue impostazioni VPN.

Perché è urgente

La vulnerabilità ha dei precedenti. Il 9 dicembre 2025 Fortinet aveva pubblicato altri due errori nella stessa funzione, CVE-2025-59718 e CVE-2025-59719. Erano emersi durante una revisione interna del codice, ma già pochi giorni dopo venivano attivamente sfruttati: dal 16 dicembre la CISA ha classificato CVE-2025-59718 come oggetto di attacchi. Chi all'epoca aveva aggiornato tempestivamente poteva sentirsi al sicuro.

Dal 15 gennaio 2026, tuttavia, la società di sicurezza Arctic Wolf ha osservato una nuova ondata di attacchi automatizzati: accessi tramite FortiCloud SSO, subito seguiti dal download della configurazione del firewall, dalla creazione di account amministratore aggiuntivi con nomi poco appariscenti come „secadmin“ o „support“ e da modifiche che garantivano a questi account l'accesso VPN. Il tutto nell'arco di pochi secondi. Sono stati colpiti anche dispositivi completamente aggiornati: Fortinet ha confermato che è stato sfruttato un nuovo vettore di attacco.

Fortinet ha bloccato i due account FortiCloud utilizzati in modo abusivo, il 26 gennaio ha disattivato lato cloud l'accesso FortiCloud SSO per tutti i clienti e un giorno dopo lo ha riattivato, questa volta senza supporto per le versioni vulnerabili. Si tratta di una misura insolitamente drastica, che ha protetto anche i dispositivi non aggiornati da ulteriori accessi attraverso questo canale. Per i dispositivi già compromessi, però, è arrivata troppo tardi: gli account creati e le configurazioni sottratte restano.

È proprio questo a rendere il caso delicato. Una configurazione esportata contiene gli hash delle password, che possono essere violati offline. E un account amministratore creato localmente continua a funzionare anche quando la vulnerabilità SSO è stata chiusa da tempo. Nelle loro pubblicazioni, Fortinet e Arctic Wolf non hanno attribuito gli attacchi a un gruppo specifico.

Cosa dovreste fare ora

  1. Aggiornare. Installate per FortiOS almeno la versione 7.6.6, 7.4.11, 7.2.13 o 7.0.19 e per FortiProxy le versioni indicate sopra. Verificate anche FortiManager, FortiAnalyzer, FortiWeb e FortiSwitchManager sulla base dell'advisory.
  2. Verificare l'accesso FortiCloud SSO. Se non vi serve la funzione, disattivatela in System > Settings („Allow administrative login using FortiCloud SSO“) oppure tramite CLI con set admin-forticloud-sso-login disable in config system global.
  3. Limitare l'accesso di gestione. L'interfaccia di amministrazione non dovrebbe essere liberamente raggiungibile da Internet. Fortinet raccomanda un accesso di gestione separato o almeno una local-in policy che consenta solo indirizzi IP noti.
  4. Controllare log e account. Cercate accessi SSO da account sconosciuti, configurazioni scaricate e account amministratore che nessuno ha creato consapevolmente. Nel suo advisory Fortinet indica account e indirizzi IP come indicatori, ma i nomi sono cambiati nel corso degli attacchi: verificate quindi tutti gli account.
  5. In caso di sospetto, trattate il dispositivo e la sua configurazione come compromessi: rimuovete account sconosciuti e modifiche VPN oppure ripristinate una configurazione pulita e reimpostate tutte le credenziali, comprese quelle degli account LDAP o AD collegati.

Cosa significa per la protezione dei firewall

Il caso evidenzia un problema che riguarda l'intero settore e non un solo produttore: il firewall è il dispositivo che dovrebbe proteggere la rete e, al tempo stesso, uno dei bersagli più redditizi al suo interno. Ogni funzione raggiungibile dall'esterno, che si tratti di portale VPN, interfaccia di gestione o accesso cloud, rappresenta un possibile punto d'ingresso. E, come in questo caso, tra i primi attacchi e la patch definitiva possono trascorrere giorni in cui anche i dispositivi gestiti con cura restano esposti.

NetProtector integra il firewall proprio in questo punto con un livello aggiuntivo. L'appliance viene installata in linea davanti al firewall e analizza il traffico prima che raggiunga il firewall:

  • Le fonti di attacco note restano fuori. Chi scandaglia in massa i firewall su Internet alla ricerca di vulnerabilità raramente lo fa su un solo bersaglio. Gli indirizzi che la rete di sensori NetProtector ha già rilevato in attività di questo tipo vengono bloccati prima ancora che possano contattare il vostro dispositivo.
  • I pattern anomali diventano visibili. Scansioni sistematiche alla ricerca di interfacce di gestione, tentativi di accesso ripetuti o accessi con una cadenza che nessun essere umano produrrebbe sono anomalie che NetProtector rileva e segnala.
  • Più margine fino all'aggiornamento. NetProtector non chiude alcuna vulnerabilità nel firewall: solo la patch può farlo. Riduce però il numero di attaccanti che riescono effettivamente a raggiungere il firewall nel periodo critico tra la divulgazione e l'aggiornamento.
Anomalie nel traffico – pattern attraverso la rete di sensori
Traffico normale Anomalia nel traffico Pattern rilevato tra sensori

Come NetProtector riconosce questi pattern e come si inserisce tra router e firewall senza modificare la rete lo illustriamo nella pagina Come funziona NetProtector.

La nostra valutazione

Fortinet ha reagito in modo rapido e deciso: disattivare senza esitazioni l'accesso cloud per tutti è stato un passo scomodo, ma efficace. Il caso resta comunque istruttivo: le funzioni di comodità come un accesso cloud ampliano la superficie di attacco, spesso senza che nessuno se ne renda conto. E un aggiornamento chiude la vulnerabilità, ma non elimina ciò che gli attaccanti hanno lasciato in precedenza. Una buona protezione inizia quindi chiedendosi quali funzioni un firewall debba realmente offrire verso l'esterno, e prosegue con aggiornamenti tempestivi, il controllo di account e log e un livello di protezione davanti al firewall che intercetti gli attaccanti prima ancora che possano tentare.

Fonti