Il 14 novembre Fortinet ha pubblicato l’avviso per la CVE-2025-64446, una vulnerabilità critica in FortiWeb, il firewall per applicazioni web dell’azienda, confermando che è già sfruttata. Fin qui niente di nuovo. Il dettaglio che fa discutere è un altro: la correzione era uscita settimane prima, senza una parola, mentre gli attacchi andavano avanti almeno da inizio ottobre.
La falla è un attraversamento dei percorsi, un path traversal, nell’interfaccia di gestione. Con una richiesta costruita ad arte un attaccante senza credenziali raggiunge un componente interno e gli fa eseguire comandi amministrativi. Gli attaccanti la usano per creare nuovi account amministratore e prendersi il dispositivo. Sono coinvolte le versioni dalla 7.0 alla 8.0; quelle corrette sono la 8.0.2, la 7.6.5, la 7.4.10, la 7.2.12 e la 7.0.12, o successive.
Una patch senza avviso
I primi attacchi sono comparsi a inizio ottobre sui sistemi esca dei ricercatori. A fine ottobre Fortinet ha rilasciato la 8.0.2, che chiudeva la falla, senza segnalarlo. Per settimane chi gestiva un FortiWeb ha visto un aggiornamento come tanti, da installare con calma, mentre gli exploit circolavano. Nel frattempo sono usciti anche dettagli tecnici completi, il che ha aperto la porta a chiunque. Perché Fortinet abbia scelto di tacere, l’azienda non lo ha spiegato.
Fortinet era già stata criticata per avvisi arrivati dopo le correzioni, nel 2023 con la falla nella VPN di FortiOS e nel 2024 con FortiJump. Per questo molti amministratori aggiornano i dispositivi esposti senza aspettare l’avviso.
Un firewall applicativo sta davanti ai tuoi siti per proteggerli. Chi lo controlla può spegnere le protezioni, osservare il traffico che passa o usarlo come punto d’appoggio per entrare nella rete.
Aggiorna FortiWeb a una versione corretta. Se non puoi farlo subito, disattiva HTTP e HTTPS sulle interfacce esposte su Internet, come indica Fortinet, e in ogni caso limita la gestione a una rete di amministrazione dedicata.
Poi apri l’elenco degli amministratori e leggilo con attenzione, nome per nome. Un account che non riconosci, o una modifica recente alla configurazione che nessuno ricorda di aver fatto, significa che il dispositivo è compromesso: ripristinalo e cambia tutte le credenziali che conteneva.
