Il 27 gennaio Fortinet ha pubblicato l’avviso per la CVE-2026-24858, una vulnerabilità con gravità 9,4 nell’accesso unico tramite FortiCloud, il FortiCloud SSO, già sfruttata. Riguarda FortiOS, FortiManager, FortiAnalyzer e FortiProxy.
Il meccanismo è di quelli che fanno sobbalzare chi gestisce reti. Un attaccante con un proprio account FortiCloud e un proprio dispositivo registrato poteva entrare come amministratore nei dispositivi di altri clienti, se su questi era attivo l’accesso tramite FortiCloud SSO. Non serviva rubare nulla alla vittima: bastava essere a propria volta cliente.
Il problema era emerso di lato. Nelle settimane precedenti erano stati segnalati accessi anomali anche su dispositivi già aggiornati con le correzioni di dicembre per una falla simile. Gli amministratori pensavano di essere a posto, e invece gli attaccanti avevano trovato una nuova strada. Una volta dentro creavano account amministratore locali e scaricavano la configurazione dei dispositivi.
Un’opzione che molti non sanno di avere
FortiCloud SSO non è attivo di default, ma può attivarsi da solo quando registri un dispositivo su FortiCare dall’interfaccia grafica. Molti amministratori non sanno di averlo acceso, e quindi non pensavano di essere esposti.
Il 26 gennaio Fortinet ha disattivato il servizio lato cloud per tutti, una misura drastica e insolita. Il giorno dopo lo ha riattivato solo per i dispositivi con versioni corrette: FortiOS 7.6.6, 7.4.11, 7.2.13 e 7.0.19; FortiManager e FortiAnalyzer 7.6.6, 7.4.10, 7.2.12 e 7.0.16; FortiProxy 7.6.6 e 7.4.13, mentre i rami 7.2 e 7.0 vanno migrati. Le versioni cloud di FortiManager, FortiAnalyzer e FortiGate non sono coinvolte. Quanti clienti siano stati violati, Fortinet non lo ha detto.
Aggiorna i dispositivi alle versioni corrette. Se non usi l’accesso tramite FortiCloud, spegnilo: config system global, poi set admin-forticloud-sso-login disable. Un servizio che non usi è solo una porta in più.
Poi leggi l’elenco degli amministratori cercando account locali creati di recente che non riconosci, e controlla nei log gli accessi via SSO da account sconosciuti e le esportazioni di configurazione. Se ne trovi, ripristina una configurazione sicura e cambia tutte le credenziali presenti sul dispositivo, comprese quelle VPN e LDAP. Chi ha scaricato la configurazione le ha già.
