In Breve

• Metasploit ha pubblicato un exploit per due vulnerabilità zero-day collegate in FortiWeb, consentendo la completa compromissione del sistema.
• La catena di attacco aggira l’autenticazione e inietta comandi malevoli, garantendo accesso root (il più alto livello).
• Tutte le principali versioni di FortiWeb precedenti alla 8.0.2 sono vulnerabili; le patch sono ora disponibili.
• Ci sono prove che gli attaccanti sfruttassero questi bug prima che Fortinet rilasciasse le correzioni.
• Rapid7 e WatchTower Labs hanno rilasciato strumenti per rilevare sistemi compromessi e dispositivi vulnerabili.

Anatomia di un’Intrusione Digitale

Immagina una fortezza con una porta laterale segreta: invisibile alle guardie, non sbarrata e che conduce direttamente alla sala del trono. Questa è la dura realtà che stanno affrontando questa settimana le organizzazioni che utilizzano i firewall FortiWeb di Fortinet, poiché il team Metasploit di Rapid7 ha svelato un nuovo modulo di exploit che combina due pericolose vulnerabilità-offrendo agli attaccanti un accesso senza precedenti e non autenticato a sistemi critici.

Le due falle, identificate come CVE-2025-64446 e CVE-2025-58034, agiscono in tandem. Prima, un trucco ingegnoso con una richiesta falsificata e un particolare header “CGIINFO” permette agli hacker di bypassare il processo di login, creando account amministratore senza mai conoscere una password. Successivamente, con i privilegi di amministratore, l’attaccante inietta comandi di sistema che il dispositivo esegue con poteri di root-l’equivalente digitale di impossessarsi delle chiavi della fortezza e dell’armeria.

Dalla Scoperta all’Armatizzazione: Una Corsa Contro il Tempo

Sebbene i dettagli tecnici siano recenti, le tattiche sono tristemente familiari. Gli attacchi zero-day-exploit per falle non ancora corrette-sono molto ambiti sia dai cybercriminali che dai gruppi sponsorizzati dagli stati. In questo caso, i ricercatori di Defused Security hanno avvertito per primi di attacchi reali prima che Fortinet potesse rilasciare una correzione, e gli attaccanti si sono mossi rapidamente per installare backdoor amministrative furtive su dispositivi non protetti.

Il modulo pubblico di Metasploit ora automatizza l’intero processo, consentendo anche ad attaccanti meno esperti di compromettere dispositivi vulnerabili. L’exploit funziona in modo affidabile su una vasta gamma di versioni di FortiWeb, come confermato da ricercatori indipendenti e da analisi dettagliate su AttackerKB di Rapid7. Sebbene alcuni payload vengano bloccati dalle difese integrate di Linux, gli attacchi basati su comandi riescono comunque a ottenere il massimo livello di accesso.

Impatto Più Ampio: Mercato, Geopolitica e la Corsa agli Armamenti Continua

I prodotti Fortinet proteggono i perimetri digitali di banche, fornitori sanitari e governi in tutto il mondo. Le violazioni qui possono avere effetti a cascata-esponendo dati sensibili, abilitando lo spionaggio o alimentando attacchi ransomware. Questo incidente richiama alla mente crisi passate come gli exploit ProxyLogon del 2021 contro Microsoft Exchange e il 0-day di Atlassian Confluence del 2022, entrambi responsabili di frenesie globali tra i cybercriminali.

Mentre i fornitori di sicurezza si affrettano a correggere e monitorare, gli attori delle minacce cercano costantemente nuove vie d’accesso-una corsa agli armamenti ad alto rischio con conseguenze reali. Il rilascio di script di rilevamento da parte di WatchTower Labs e l’urgenza degli avvisi di patch di Fortinet sottolineano la gravità della minaccia. Per i difensori, la lezione è chiara: vigilanza e risposta rapida restano le uniche difese contro il toolkit in continua evoluzione degli attaccanti informatici.

WIKICROOK

• Zero: Una vulnerabilità zero-day è una falla di sicurezza nascosta, sconosciuta al produttore del software e senza correzione disponibile, che la rende estremamente preziosa e pericolosa per gli attaccanti.
• Bypass dell’Autenticazione: Il bypass dell’autenticazione è una vulnerabilità che consente agli attaccanti di saltare o ingannare il processo di login, ottenendo accesso ai sistemi senza credenziali valide.
• Command Injection: La command injection è una vulnerabilità in cui gli attaccanti inducono i sistemi a eseguire comandi non autorizzati inserendo input malevoli nei campi o nelle interfacce utente.
• Privilegi Root: I privilegi root sono i diritti di accesso più elevati su un sistema, che consentono il controllo completo su tutte le funzioni, impostazioni e dati. Riservati agli utenti fidati.
• Modulo di Exploit: Un modulo di exploit è uno strumento o script che automatizza gli attacchi sfruttando vulnerabilità specifiche, spesso utilizzato nei test di penetrazione e nelle valutazioni di sicurezza informatica.