Il 27 gennaio 2026 il Cybersecurity and Infrastructure Security Agency ha inserito CVE-2026-24858 nel catalogo KEV con scadenza remediazione fissata al 30 gennaio 2026. La vulnerabilità, classificata con CVSS 9.8 CRITICAL secondo il National Vulnerability Database, consente il bypass dell'autenticazione nei dispositivi Fortinet attraverso una falla architetturale nel trust tra appliance e servizio FortiCloud SSO. L'exploitation attiva ha già causato takeover di dispositivi, creazione di account amministrativi locali e esfiltrazione di configurazioni firewall.
- CVE-2026-24858 è un authentication bypass con CVSS 9.8 che sfrutta la logica di trust FortiCloud SSO per ottenere accesso a dispositivi registrati ad altri account.
- Threat actor hanno creato account admin locali, modificato configurazioni VPN ed esfiltrato dati; Fortinet ha identificato e bloccato due account malevoli il 22 gennaio 2026.
- Fortinet ha temporaneamente disabilitato FortiCloud SSO a livello globale il 26 gennaio 2026, riabilitandolo il giorno successivo con restrizioni sulle versioni vulnerabili.
- CISA ha aggiunto la vulnerabilità al KEV il 27 gennaio 2026 con due scadenze di remediazione al 30 gennaio 2026, estendendo successivamente la guidance ai prodotti FortiWeb e FortiProxy.
Il meccanismo del bypass: quando il trust cross-tenant fallisce
Il National Vulnerability Database descrive CVE-2026-24858 come un'Authentication Bypass Using an Alternate Path or Channel, con identificatore CWE-288. La falla risiede nell'implementazione del trust tra dispositivi Fortinet e il servizio FortiCloud SSO: la logica di autenticazione non valida che il dispositivo richiedente appartenga allo stesso account del dispositivo originariamente registrato.
Secondo la descrizione riportata nel record NVD, un attaccante con un account FortiCloud e un dispositivo registrato può effettuare il login su altri dispositivi registrati ad altri account, purché su questi ultimi sia abilitata l'autenticazione FortiCloud SSO. La condizione necessaria è esplicita: il toggle 'Allow administrative login using FortiCloud SSO' deve essere attivo. Fortinet precisa che questa funzionalità non è abilitata di default e richiede registrazione FortiCare.
Il problema è architetturale: in un sistema federato multi-tenant, la mancata validazione del contesto account nel flusso token permette a qualsiasi dispositivo registrato nel cloud di impersonare l'identità amministrativa su dispositivi di tenant diversi. È un classico authorization bypass in cui la convenienza dell'accesso unificato si traduce in confine di sicurezza permeabile.
L'exploitation confermata: account malevoli e post-exploitation documentata
The Hacker News ha riportato i dettagli dell'exploitation attiva citando comunicazioni dirette di Fortinet. Threat actor non identificati hanno abusato di questa "new attack path" per ottenere SSO login senza autenticazione, creando account amministrativi locali per persistenza, modificando configurazioni per concedere accesso VPN e esfiltrando configurazioni firewall.
Fortinet ha bloccato due account specifici il 22 gennaio 2026: cloud-noc@mail.io e cloud-init@mail.io. L'identità degli operatori non è stata determinata: non emergono sovrapposizioni infrastrutturali pubblicamente documentate che colleghino questa attività a gruppi threat noti. Il dossier non specifica se l'exploit fosse disponibile come proof-of-concept pubblico o se sia stato distribuito attraverso mercati illeciti.
Le tattiche descritte — persistenza via account locali, escalation attraverso modifica VPN, esfiltrazione configurazioni — indicano un obiettivo di accesso prolungato alla rete interna delle vittime piuttosto che semplice vandalismo. La capacità di modificare policy VPN suggerisce che gli attaccanti intendessero stabilire tunnel crittografici per movimento laterale successivo all'iniziale compromissione del dispositivo edge.
La risposta Fortinet: disabilitazione globale del servizio come unica mitigazione
La gravità della situazione è emersa nelle contromisure adottate da Fortinet. L'azienda ha disabilitato FortiCloud SSO lato server il 26 gennaio 2026 — una misura senza precedenti che ha impattato tutti i clienti con il servizio attivo, indipendentemente dalla loro esposizione nota. Il SSO è stato riabilitato il 27 gennaio 2026 con un blocco specifico per i dispositivi che eseguono versioni vulnerabili.
Questa sequenza rivela due elementi critici. Primo: la falla non era mitigabile attraverso contromisure lato server senza sospendere completamente il servizio, indicando che la vulnerabilità risiede nella logica core di autorizzazione piuttosto che in configurazioni periferiche. Secondo: la tempistica compressa tra rilevamento exploitation (22 gennaio), disabilitazione globale (26 gennaio) e riabilitazione con restrizioni (27 gennaio) suggerisce una pressione operativa estrema e un rischio percepito di espansione incontrollata.
Il 28 gennaio 2026 CISA ha emesso guidance aggiuntiva che estende l'elenco dei prodotti affetti a FortiWeb e FortiProxy, oltre ai già noti FortiOS, FortiManager e FortiAnalyzer. Fortinet ha inoltre escluso che il problema interessi SAML IdP di terze parti o FortiAuthenticator, delimitando il perimetro della falla al solo ecosistema FortiCloud SSO.
Cosa fare adesso
Per le organizzazioni con infrastruttura Fortinet, le azioni prioritarie derivano dalle indicazioni ufficiali disponibili nel dossier:
Verificare l'esposizione. Controllare se FortiCloud SSO è abilitato nei dispositivi; la condizione di attacco richiede esplicitamente il toggle 'Allow administrative login using FortiCloud SSO'. Se il servizio è attivo, l'esposizione è immediata indipendentemente da altre configurazioni di rete.
Applicare gli aggiornamenti rilasciati da Fortinet. Il record NVD elenca le versioni affette per ciascuna famiglia prodotto, da FortiOS a FortiProxy, senza tuttavia specificare i numeri di release che correggono la vulnerabilità. È necessario consultare direttamente le advisory vendor per identificare le build patched.
Controllare la presenza di account amministrativi locali anomali. L'exploitation documentata prevede la creazione di account admin per persistenza; la verifica deve estendersi alle modifiche recenti delle policy VPN, che rappresentano l'indicatore più specifico della post-exploitation riportata.
Rispettare la scadenza KEV per le entità soggette. CISA ha fissato la remediazione obbligatoria per il 30 gennaio 2026 per le Federal Civilian Executive Branch agencies secondo il Binding Operational Directive 22-01. Anche le organizzazioni private che operano con contratti governativi o in supply chain critica devono considerare questa data come riferimento operativo.
Il cloud SSO come superficie di attacco: oltre Fortinet
L'incidente CVE-2026-24858 solleva una questione architetturale che travalica il singolo vendor. La centralizzazione dell'autenticazione amministrativa attraverso servizi cloud federati introduce una superficie di attacco unificata che può aggredire istanze distribuite geograficamente e organizzativamente. Quando il trust tra dispositivo e servizio cloud non include vincoli rigorosi di tenancy, il confine tra account diventa teorico.
La scelta di Fortinet di disabilitare temporaneamente un servizio a pagamento per tutti i clienti — con l'impatto operativo che questo comporta — indica che il rischio reputazionale e legale di un'espansione incontrollata è stato giudicato superiore al costo della discontinuità servizio. Per i CISO, questo è un segnale sulla fragilità delle garanzie contrattuali quando la vulnerabilità è nella logica di autorizzazione del vendor.
Il dossier non specifica il numero di organizzazioni compromesse né lo stato attuale dell'investigazione su FortiSwitch Manager, ancora in fase di valutazione al momento della pubblicazione.
Fonti
- https://nvd.nist.gov/vuln/detail/cve-2026-24858
- https://thehackernews.com/2026/01/fortinet-patches-cve-2026-24858-after.html
- https://nvd.nist.gov/vuln
- https://nvd.nist.gov/vuln/search
- https://nvd.nist.gov/vuln/categories
- https://nvd.nist.gov/vuln/data-feeds
- https://nvd.nist.gov/vuln/vendor-comments
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.