Fortinet FortiGate CVE-2025-68686: un doppio slash riapre la persistenza symlink sulla SSL-VPN, sfruttata in rete

Chi nel 2025 ha applicato la patch Fortinet contro la persistenza via symlink e ha considerato chiuso l'incidente ha un problema: la CVE-2025-68686 dimostra che quella contromisura si aggira con un carattere. La falla, di tipo information disclosure con CVSS 5.3, interessa i dispositivi FortiGate con SSL-VPN abilitata ed è dovuta a un controllo di stringa fragile: la patch verificava con strstr la presenza del percorso /lang/custom nella richiesta HTTP, ma un attaccante che chiede /lang//custom ottiene un percorso che il filesystem normalizza in modo identico e che il controllo di sicurezza non riconosce. Nei test dei ricercatori la richiesta con doppio slash restituiva 200 OK dove quella normale restituiva 403.

La precondizione va detta con precisione, perché cambia il perimetro: la vulnerabilità non consente di compromettere un dispositivo integro, ma di riottenere accesso ai file esposti dai link simbolici piazzati in una compromissione precedente, tipicamente attraverso le vecchie CVE-2022-42475, CVE-2023-27997 o CVE-2024-21762. Colpisce cioè gli apparati mai ripuliti sul piano forense dopo un incidente: il campione analizzato da ITRES Labs su circa 3.500 FortiGate esposti mostrava il 4,11% ancora con la persistenza symlink attiva e raggiungibile a un mese dall'advisory del vendor. La disclosure è lunga (bypass individuato ad aprile 2025, segnalato a Fortinet in ottobre, patch aggiornata l'11 febbraio 2026), ma è nell'ultima settimana che il quadro è cambiato: Fortinet ha confermato lo sfruttamento in rete, la CISA ha inserito la CVE nel catalogo KEV il 27 luglio con scadenza di remediation al 10 agosto 2026 e ACN ha aggiornato il 28 luglio l'alert AL01/260211 aggiungendo la CVE e ricalcolando l'impatto sistemico.

La rilevanza per il tessuto italiano è diretta. Le SSL-VPN FortiGate sono la porta d'ingresso delle campagne ransomware che questo bollettino ha già documentato, da Akira, con tredici incidenti rilevati in Italia e sfruttamento sistematico proprio della CVE-2024-21762, a Qilin contro le PMI: la persistenza via symlink è esattamente la tecnica di post-exploitation osservata in quegli scenari. A doversene preoccupare è chi gestisce un FortiGate con SSL-VPN che sia stato vulnerabile a una delle tre CVE storiche e non sia stato ricostruito o verificato dopo l'aggiornamento, condizione frequente nelle organizzazioni che hanno risposto a un incidente con la sola patch. L'aggiornamento va accompagnato da una verifica esplicita dei link simbolici presenti nell'area della SSL-VPN.

• Versioni affette: FortiOS 7.6.x precedenti alla 7.6.5, 7.4.x precedenti alla 7.4.7, tutte le versioni dei rami 7.2.x, 7.0.x e 6.4.x; l'alert ACN comprende anche FortiSandbox 5.0.x precedenti alla 5.0.2 e 4.4.x precedenti alla 4.4.8 per altre due vulnerabilità ad alta gravità, per ora senza sfruttamento rilevato.
• Azione raccomandata: aggiornare FortiOS alla 7.6.2 o successiva e alla 7.4.7 o successiva secondo l'advisory FG-IR-25-934, migrando i rami 7.2, 7.0 e 6.4 a release supportate, e rispettare la scadenza KEV del 10 agosto 2026 dove applicabile; dove l'aggiornamento non è immediato è disponibile una protezione virtuale nel database FMWP 26.033; sui dispositivi coinvolti in incidenti passati non limitarsi alla patch, ma verificare la presenza di collegamenti simbolici anomali nell'area SSL-VPN e ruotare credenziali e certificati; disabilitare la SSL-VPN dove non necessaria.
   

Fonti: ACN, FortiGuard Labs, ITRES Labs, Security Affairs