Attore non attribuito — CISA dichiara sfruttamento attivo, senza indicare chihigh
FortiOS, la patch che doveva chiudere la porta sul retro: aggirata, e adesso è in KEV
Il 27 luglio 2026 la CISA ha inserito CVE-2025-68686 nel catalogo delle vulnerabilità sfruttate attivamente, con scadenza di rimedio al 10 agosto. La falla non apre una porta: ne riapre una che si credeva chiusa. Aggira la correzione che Fortinet aveva sviluppato contro il meccanismo di persistenza a link simbolico visto in alcuni casi post-sfruttamento, permettendo a un attaccante remoto e non autenticato di continuare a leggere file su un dispositivo già compromesso in precedenza. Fortinet la classifica di gravità **media**, CVSS 5.3, e sulla propria pagina riporta ancora "Known Exploited: No". La CISA dice il contrario. Entrambe le cose sono documentate, e la distanza fra le due è il vero contenuto di questo dossier.
Una falla che presuppone un'altra falla
Quasi tutte le vulnerabilità che raccontiamo hanno la stessa forma: qualcuno che non doveva entrare, entra. Questa no. CVE-2025-68686 parte dal presupposto che l'attaccante sia già dentro — e chiede una domanda diversa: quando avete ripulito quel dispositivo, cosa è rimasto?
Il contesto è quello dei FortiGate compromessi tramite falle note e poi "sistemati". In alcuni di quei casi gli attaccanti avevano lasciato dietro di sé un meccanismo di persistenza costruito con un link simbolico: un collegamento piazzato nel filesystem del dispositivo che continuava a esporre file di configurazione anche dopo la correzione della vulnerabilità d'ingresso. Fortinet aveva sviluppato una patch specifica contro quel meccanismo.
Quella patch si può aggirare. È esattamente ciò che dice il titolo dell'advisory Fortinet: SSL-VPN Symlink Persistence Patch Bypass.
- 01Prima compromissionevia un'altra vulnerabilità, a livello di filesystem
- 02Link simbolico piantatopersistenza in sola lettura, sopravvive alla patch d'ingresso
- 03CVE-2025-68686richieste HTTP costruite ad arte aggirano anche la correzione anti-symlink
Cosa dice il produttore, alla lettera
L'advisory FG-IR-25-934 classifica la falla come Exposure of Sensitive Information to an Unauthorized Actor (CWE-200), componente SSL-VPN, attacco non autenticato, impatto information disclosure. Punteggio CVSSv3 5.3, gravità dichiarata media. Pubblicato il 10 febbraio 2026, aggiornato il 12 marzo 2026 con le informazioni sul pacchetto IPS.
Le versioni interessate e le correzioni:
Due precisazioni del produttore che cambiano parecchio la valutazione del rischio, e che vanno lette insieme.
La prima: "questa vulnerabilità può essere abusata solo come conseguenza dello sfruttamento, da parte di un attore ostile, di una vulnerabilità nota per ottenere accesso in sola lettura ai dispositivi FortiGate vulnerabili, a livello di filesystem". Non è un ingresso: è una coda.
La seconda: "i prodotti che non hanno mai avuto la SSL-VPN abilitata non sono impattati". È il filtro più rapido che avete a disposizione stasera.
Esiste anche un virtual patch, denominato FG-VD-60389.0day, disponibile nell'aggiornamento del database FMWP 26.033. La segnalazione è arrivata in divulgazione responsabile da Peter Gabaldon (ITRESIT).
Il punto scomodo: 5.3 contro "sfruttata attivamente"
Sulla pagina PSIRT di Fortinet, alla data di questa analisi, il campo Known Exploited riporta No. Nel catalogo KEV della CISA la stessa CVE è presente dal 27 luglio 2026, e il criterio d'ingresso in KEV è uno solo: prove di sfruttamento attivo. La scadenza di rimedio fissata per le federal civilian agencies è il 10 agosto 2026, con l'azione richiesta ricondotta alla direttiva BOD 26-04 e ai relativi "Forensics Triage Requirements". L'uso in campagne ransomware è marcato Unknown.
Questa contraddizione non la risolviamo, e non fingiamo di poterlo fare. Le letture possibili sono almeno due: la pagina del produttore potrebbe non essere stata aggiornata dopo l'inserimento in KEV (l'ultimo aggiornamento dichiarato è del 12 marzo), oppure vendor e agenzia stanno pesando evidenze diverse. Quello che si può dire con certezza è che le due fonti primarie oggi dicono cose diverse sullo stesso identificativo, e che una delle due impone una scadenza operativa.
C'è però un modo più utile di leggere il 5.3. Quel punteggio misura una vulnerabilità presa da sola: complessità d'attacco alta, impatto solo sulla confidenzialità, nessuna scrittura, nessun impatto sulla disponibilità. Ma questa falla non esiste da sola per definizione: vive solo su dispositivi già compromessi. Nella catena reale il suo valore non è "quanto danno fa", è "per quanto tempo l'attaccante resta a leggere dopo che credete di averlo cacciato". E questo, in un punteggio CVSS di base, non compare.
Quello che questa storia dice davvero
Il messaggio operativo non riguarda Fortinet più di quanto riguardi chiunque gestisca un'appliance perimetrale. Riguarda la differenza fra aggiornare e bonificare.
Applicare una patch chiude la vulnerabilità che ha permesso l'ingresso. Non rimuove ciò che l'attaccante ha lasciato: file, collegamenti, account, chiavi, sessioni. Su un'appliance chiusa — dove non si installa un EDR, non si ispeziona liberamente il filesystem, non si fa una analisi forense con gli strumenti di sempre — questa distinzione è particolarmente crudele, perché la parte visibile del lavoro (il numero di versione che sale) è anche quella che rassicura di più.
- 10 febbraio 2026Advisory Fortinet
FG-IR-25-934 pubblicato: gravità media, CVSS 5.3.
- 12 marzo 2026Aggiornamento
Aggiunte le informazioni sul pacchetto IPS.
- 27 luglio 2026Ingresso in KEV
La CISA la registra fra le vulnerabilità sfruttate attivamente.
- 10 agosto 2026Scadenza
Termine di rimedio per le agenzie federali statunitensi, ai sensi di BOD 26-04.
Cosa fare, in ordine di fretta
Primo, il filtro da un minuto. Se la SSL-VPN non è mai stata abilitata su quel dispositivo, non siete impattati da questa CVE. Verificatelo, non ricordatelo.
Secondo, aggiornate. 7.6.2 o superiore, 7.4.7 o superiore. Se siete su 7.2, 7.0 o 6.4 non esiste una versione corretta del vostro ramo: la strada è la migrazione, e sono rami che stanno accumulando altro debito oltre a questo. Dove l'aggiornamento non è immediato, il virtual patch FG-VD-60389.0day (FMWP 26.033) è una misura di contenimento, non una soluzione.
Terzo, e qui sta il lavoro vero: chiedetevi se quel dispositivo è mai stato compromesso. Questa falla è utile a un attaccante solo in quel caso. Se in passato il vostro FortiGate è finito in una delle campagne note contro le VPN SSL Fortinet — e sono state parecchie, negli ultimi due anni — allora l'aggiornamento di stasera non chiude la storia. Serve una verifica dei file di configurazione, delle credenziali locali e di ciò che è stato ruotato dopo l'incidente, non prima.
Quarto: ruotate come se aveste perso i file di configurazione. L'impatto dichiarato è divulgazione di informazioni. Su un concentratore VPN, "informazioni" significa configurazione, e la configurazione contiene molto di ciò che serve per tornare.
Una nota di trasparenza, perché in questo dossier conta più del solito: i dettagli tecnici, le versioni e il punteggio vengono dall'advisory Fortinet; lo stato di sfruttamento attivo e la scadenza vengono dal catalogo KEV della CISA. Le due fonti non concordano sul campo "sfruttata", e lo abbiamo scritto invece di scegliere quale fa più effetto. Se la pagina del produttore verrà aggiornata, questo dossier verrà aggiornato con lei.
