Gli autori delle minacce hanno iniziato a sfruttare attivamente le vulnerabilità di alta gravità, poco dopo che il fornitore le aveva rese pubbliche, al fine di aggirare l’autenticazione su dispositivi FortiGate.

Un recente rapporto di Arctic Wolf rivela che, dal 12 dicembre 2025, queste vulnerabilità vengono sfruttate dagli aggressori per ottenere l’accesso come amministratori attraverso il Single Sign-On (SSO) e rubare configurazioni di sistema sensibili.

Le vulnerabilità CVE-2025-59718 e CVE-2025-59719, con un punteggio CVSS critico di 9,1, sono nel mirino degli attacchi. Di fatto, senza chiave, un aggressore non autenticato può entrare dalla porta principale sfruttando tali falle, che permettono di eludere le protezioni di accesso SSO grazie a messaggi SAML falsificati.

I ricercatori di Arctic Wolf hanno evidenziato: “Tuttavia, quando gli amministratori registrano i dispositivi utilizzando FortiCare tramite la GUI, FortiCloud SSO viene abilitato al momento della registrazione, a meno che l’impostazione ‘Consenti accesso amministrativo tramite FortiCloud SSO’ non sia disabilitata nella pagina di registrazione”.

I tentativi di intrusione osservati da Arctic Wolf seguono uno schema ben preciso. Gli aggressori provengono da provider di hosting specifici, tra cui The Constant Company LLC, Bl Networks e Kaopu Cloud Hk Limited, e prendono di mira direttamente l’account amministratore.

Una volta all’interno, gli aggressori si sono subito dedicati al furto di dati. “In seguito ad accessi SSO dannosi, le configurazioni venivano esportate agli stessi indirizzi IP tramite l’interfaccia utente grafica”. Questa esfiltrazione è catastrofica perché le configurazioni del firewall contengono spesso credenziali hash per gli utenti VPN e altri account locali.

Si consiglia agli amministratori di effettuare immediatamente l’aggiornamento alle ultime versioni corrette (ad esempio, FortiOS 7.6.4, 7.4.9, 7.2.12 o 7.0.18). Per coloro che non possono applicare immediatamente la patch, esiste una soluzione alternativa fondamentale. È possibile disabilitare la funzionalità vulnerabile tramite l’interfaccia a riga di comando (CLI):

L'articolo CVE-2025-59718 e CVE-2025-59719 su FortiGate in sfruttamento attivo proviene da Red Hot Cyber.