CISA ha inserito CVE-2025-68686 nel catalogo Known Exploited Vulnerabilities il 28 luglio 2026, confermando che la falla è attivamente sfruttata contro appliance FortiOS. La criticità non sta nella complessità dell'attacco — richiede infatti una pre-compromissione a livello filesystem — ma nel meccanismo di bypass delle patch di sicurezza già applicate, che consente a un attaccante di mantenere o ristabilire la persistenza su dispositivi apparentemente aggiornati.
- CISA ha confermato l'exploit attivo in-the-wild di CVE-2025-68686 con inserimento nel KEV catalog il 28 luglio 2026.
- La vulnerabilità permette il bypass delle contromisure anti-symlink per persistenza tramite richieste HTTP craftate.
- Condizione imprescindibile: l'attaccante deve aver già ottenuto accesso filesystem su FortiOS tramite un'altra vulnerabilità.
- Le agenzie federali statunitensi hanno tempo fino al 10 agosto 2026 per applicare le mitigazioni richieste dalla BOD 26-04.
Il meccanismo: come funziona il bypass delle patch anti-symlink
La falla, classificata come CWE-200: Exposure of Sensitive Information to an Unauthorized Actor con punteggio CVSS 3.1 di 5.9 (MEDIUM) secondo il record ufficiale, non apre da sola una breccia nel perimetro. La sua pericolosità risiede nella natura secondaria e post-exploitation: un attaccante già insediato sull'appliance può eludere le protezioni introdotte in precedenti aggiornamenti FortiOS.
Secondo la descrizione tecnica confermata da CISA nel catalogo KEV, l'exploit si concretizza in richieste HTTP appositamente costruite che aggirano la patch sviluppata per bloccare il meccanismo di persistenza basato su symbolic link. Il symlink è una tecnica consolidata per mantenere l'accesso su sistemi Unix-like: un link simbolico piazzato in directory strategiche — spesso legate a processi di boot o servizi di sistema — sopravvive ai riavvii e può ricollegarsi a payload controllati dall'attaccante anche dopo interventi di remediation parziali.
La fonte non specifica quali versioni di FortiOS siano effettivamente colpite, né dettaglia la struttura esatta delle richieste HTTP utilizzate per il bypass. Questo limite rende difficile una valutazione del footprint esposto senza un advisory diretto da Fortinet.
"Il catalogo KEV di CISA conferma la stessa descrizione tecnica: un attaccante remoto non autenticato può bypassare la patch sviluppata per il meccanismo di persistenza via symbolic link tramite richieste HTTP craftate."
La trappola della pre-compromissione: perché il patching non basta
Il requisito di filesystem-level access pregresso qualifica CVE-2025-68686 come vulnerabilità di secondo stadio, ma è esattamente questo profilo a renderla insidiosa per le difese enterprise. Le organizzazioni che gestiscono centinaia o migliaia di appliance FortiGate — spesso distribuite su filiali, data center edge e cloud ibridi — operano con pipeline di patching che privilegiano la velocità di deployment. La logica implicita è che un sistema aggiornato sia un sistema protetto.
Questa falla demolisce quella premessa. Se un attaccante ha compromesso un FortiOS in un momento precedente — attraverso una delle numerose CVE critiche che hanno colpito Fortinet negli ultimi anni, inclusa la campagna FortiBleed documentata su altri prodotti della famiglia — può utilizzare CVE-2025-68686 per ristabilire la persistenza anche dopo che l'amministratore ha applicato l'ultimo bollettino di sicurezza. Il dispositivo risulta formalmente aggiornato, ma l'insediamento dell'attaccante permane.
Il catalogo KEV di CISA non collega CVE-2025-68686 a campagne ransomware specifiche, ma il meccanismo di persistenza post-patch è funzionalmente equivalente a quello impiegato da gruppi di minaccia avanzata per mantenere accesso duraturo a reti di elevato valore. L'appliance perimetrale è un obiettivo privilegiato: controlla il traffico Nord-Sud, ospola regole VPN, e spesso gestisce segmentazioni di rete che, se compromesse, espandono la superficie di attacco verso l'interno.
Timeline e obblighi: la BOD 26-04 entra in vigore
CISA ha attivato la Binding Operational Directive 26-04 per le agenzie del Federal Civilian Executive Branch: la deadline per l'applicazione delle mitigazioni è fissata al 10 agosto 2026. La direttiva non impone solo il patching, ma include esplicitamente il requisito di seguire le Forensics Triage Requirements per i dispositivi potenzialmente già compromessi.
Questa componente investigativa è raramente presente nelle direttive CISA di routine e segnala che l'agenzia riconosce il rischio di insediamenti pregressi non rilevati. L'istruzione presuppone che un'agenzia federale con FortiOS aggiornato possa comunque ospitare un attaccante latente, e che la verifica di questa condizione richieda analisi forense attiva, non solo conformità alle versioni software.
Per le organizzazioni private al di fuori del perimetro federale, la BOD non è vincolante, ma la struttura della direttiva offre un modello operativo: patch più triage forense, non patch da sola.
Cosa fare adesso
Le azioni prioritarie derivano direttamente dalla documentazione CISA e dalla natura della vulnerabilità:
- Verificare lo stato di compromissione pregressa su ogni appliance FortiOS esposta a Internet o con accesso VPN attivo: la pre-condizione di filesystem access significa che i dispositivi già attaccati sono i più a rischio di persistenza via CVE-2025-68686.
- Applicare le mitigazioni entro il 10 agosto 2026 per le organizzazioni soggette a BOD 26-04, monitorando gli aggiornamenti di CISA per eventuali revisioni della deadline o estensioni.
- Seguire le Forensics Triage Requirements indicate da CISA per i dispositivi ritenuti potenzialmente compromessi, includendo analisi dei log di accesso filesystem e verifica di anomalie nei processi persistenti.
- Rivalutare i processi di patching per includere controlli di validazione post-update che verifichino non solo la versione installata ma anche l'integrità del filesystem e l'assenza di modifiche non autorizzate.
Il segnale del KEV: quando la persistenza diventa il nuovo obiettivo
L'inserimento di CVE-2025-68686 nel catalogo KEV conferma una direzione di evoluzione tattica osservata con crescente frequenza nel threat landscape dei dispositivi di rete: il target non è più l'appliance come punto di ingresso, ma come infrastruttura di persistenza. Gli attaccanti investono nel mantenimento dell'accesso su sistemi che le vittime considerano fidati per design — i firewall, i VPN concentrator, i bastion host — perché questi sistemi godono di eccezioni di monitoraggio e vengono ripristinati con priorità dopo gli incidenti.
Il punteggio CVSS 5.9 MEDIUM sottostima il rischio operativo reale. La metrica non cattura il contesto di catena d'attacco multi-stadio, né il valore tattico di un bypass patch su un dispositivo già compromesso. Per le organizzazioni, la lezione è che la gestione delle vulnerabilità deve essere contestuale allo stato di sicurezza storico del singolo asset, non solo al suo livello di patch corrente. Un FortiOS aggiornato non è necessariamente un FortiOS pulito: questa è la posta in gioco che CISA ha messo al centro della BOD 26-04.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://cybersecuritynews.com/fortinet-fortios-vulnerability-exploited/
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- https://www.bleepingcomputer.com/news/security/cisa-warns-feds-to-patch-exploited-fortinet-fortisandbox-flaws-by-sunday/
- https://thehackernews.com/2026/06/cisa-warns-fortinet-customers-as.html
- https://nvd.nist.gov/vuln/detail/CVE-2026-21643
- https://www.bleepingcomputer.com/
- https://www.bleepingcomputer.com/tutorials/
- https://www.bleepingcomputer.com/download/