Molte piccole imprese italiane hanno in ufficio un FortiGate: la scatola che fa da firewall e che fornisce la VPN con cui i dipendenti lavorano da casa o dal cliente. Ieri, 27 luglio, la CISA statunitense ha inserito nel proprio catalogo delle vulnerabilità sfruttate davvero una falla che riguarda proprio quei dispositivi.
Il codice è CVE-2025-68686. E la cosa interessante non è la gravità: è il meccanismo.
Cominciamo da quello che questa falla non è
Perché la disinformazione qui fa più danni della notizia.
- Il punteggio ufficiale del produttore è 5,3 su 10, cioè medio. Se hai letto in giro “falla da 9,3”, è sbagliato: fa fede l’advisory Fortinet, ed è 5,3.
- Non è sfruttabile da sola. L’advisory dice esplicitamente che l’attacco richiede che il dispositivo sia già stato compromesso in precedenza, attraverso un’altra vulnerabilità a livello di filesystem.
- Se sul tuo apparato la SSL-VPN non è attiva, non sei interessato.
Quindi no: non è una porta spalancata su internet che chiunque può spingere stanotte.
E allora perché la CISA se ne occupa
Perché questa vulnerabilità non serve a entrare. Serve a restare.
Il meccanismo che aggira è quello della persistenza tramite symlink: in italiano corrente, un trucco con cui un attaccante che era già riuscito a entrare si lascia dietro un collegamento nascosto per continuare a leggere informazioni sensibili anche dopo. Fortinet aveva rilasciato una correzione contro quel trucco. Questa CVE è il bypass di quella correzione: permette, con richieste HTTP costruite ad arte, di aggirarla.
Una patch chiude la via d'ingresso ma non rimuove necessariamente ciò che un attaccante ha già lasciato sul dispositivo. Nel caso della CVE-2025-68686 il meccanismo colpito è proprio quello della persistenza: un apparato compromesso in passato e poi aggiornato può continuare a esporre informazioni sensibili. Per questo, dopo un sospetto di compromissione, all'aggiornamento vanno affiancati il ripristino a una versione che rimuove i file residui e il cambio delle credenziali.
Ecco perché per una piccola impresa il punto pratico non è il punteggio, ma questa frase: se il tuo firewall è stato bucato in passato, averlo aggiornato non garantisce che l’ospite se ne sia andato.
Le versioni, quelle esatte
L’advisory Fortinet FG-IR-25-934 indica:
- FortiOS 7.6.0 - 7.6.1 → aggiornare alla 7.6.2 o superiore;
- FortiOS 7.4.0 - 7.4.6 → aggiornare alla 7.4.7 o superiore;
- FortiOS 7.2, 7.0 e 6.4: tutte interessate, con indicazione di migrare a una versione corretta.
Se sei su un ramo 7.2, 7.0 o 6.4 la questione è più ampia di questa singola falla: sono versioni a fine corsa, e la migrazione va pianificata a prescindere.
È disponibile anche un virtual patch (FG-VD-60389.0day) per chi non può aggiornare subito, ma è una misura tampone, non la soluzione.
Le tre domande da fare a chi ti gestisce la rete
Nella maggior parte delle piccole imprese il firewall non lo tocca il titolare: lo gestisce un fornitore IT esterno. Questo è il messaggio da inoltrargli oggi, con tre domande secche:
- Su quale versione di FortiOS siamo? E se non è la 7.6.2 o la 7.4.7, quando aggiorniamo.
- La SSL-VPN è attiva? Se sì, serve davvero a tutti gli utenti o si può limitare agli indirizzi noti.
- Abbiamo avuto in passato segnalazioni di compromissione su questo apparato? Se la risposta è “forse” o “non lo so”, allora dopo l’aggiornamento vanno cambiate le password degli account VPN e amministratore, perché potrebbero essere state lette.
In breve
La CVE-2025-68686 è stata inserita il 27 luglio nel catalogo CISA delle vulnerabilità sfruttate. Riguarda FortiOS con SSL-VPN attiva, ha un punteggio 5,3 e richiede una compromissione precedente del dispositivo: non è una falla che apre la porta a chiunque, e chi la racconta come critica sta esagerando.
Il valore della notizia è un altro: colpisce il meccanismo con cui un intruso resta dentro dopo la patch. Le versioni a cui arrivare sono la 7.6.2 e la 7.4.7; chi è su 7.2, 7.0 o 6.4 deve pianificare una migrazione. E se c’è il dubbio che qualcuno sia entrato in passato, all’aggiornamento va affiancato il cambio delle credenziali VPN e amministratore — perché è quello, non la patch, a chiudere davvero la porta.