CISA lancia l’allarme su due nuove vulnerabilità attivamente sfruttate in FortiOS e Arista VeloCloud

Introduzione

Il 27 luglio 2026 la Cybersecurity and Infrastructure Security Agency (CISA) ha aggiornato il proprio catalogo Known Exploited Vulnerabilities (KEV) con l’inserimento di due nuove falle di sicurezza, per le quali è già stata rilevata attività malevola in corso. Le vulnerabilità, identificate come CVE-2025-68686 e CVE-2026-16812, colpiscono rispettivamente i sistemi Fortinet FortiOS e l’orchestrator on-premises Arista VeloCloud. L’intervento si inserisce nel quadro della Direttiva Operativa Vincolante BOD 26-04, che impone alle agenzie federali statunitensi la correzione prioritaria delle vulnerabilità presenti nel catalogo, specialmente quelle che garantiscono il controllo completo post-sfruttamento.

Analisi tecnica

Le due CVE differiscono per tipologia ma condividono la pericolosità di un’esecuzione attiva in rete.

• CVE-2025-68686 (Fortinet FortiOS): si tratta di un’esposizione di informazioni sensibili. Un attore non autorizzato può sfruttare la falla per accedere a dati critici dell’appliance, bypassando i meccanismi di confidenzialità. La natura della vulnerabilità lascia ipotizzare un vettore di rete che non richiede credenziali pregresse, ma i dettagli tecnici esatti sono contenuti nel bollettino ufficiale Fortinet.

• CVE-2026-16812 (Arista VeloCloud Orchestrator On-Prem): è una classica command injection a livello di sistema operativo. L’insufficiente sanitizzazione degli input consente a un aggressore di iniettare comandi arbitrari, ottenendo potenzialmente una shell con i privilegi dell’applicazione e scalando fino alla compromissione totale della piattaforma di orchestrazione.

Secondo il bollettino CISA, entrambe le vulnerabilità sono già sfruttate in attacchi reali, un elemento che ne eleva significativamente la criticità, pur in assenza di punteggi CVSS ufficiali al momento della pubblicazione.

Impatto

L’impatto è duplice e grave. Per FortiOS, la perdita di informazioni sensibili può facilitare ulteriori attacchi mirati o la mappatura dell’infrastruttura di rete. Nel caso di Arista VeloCloud Orchestrator, la command injection apre la strada all’esecuzione arbitraria di comandi e quindi alla compromissione totale del sistema che gestisce l’intera SD-WAN, mettendo a rischio la connettività e il traffico di tutte le sedi collegate. Entrambi i prodotti sono ampiamente utilizzati in ambito enterprise e governativo, il che rende l’attività malevola osservata particolarmente preoccupante.

Mitigazione

CISA richiede alle agenzie federali civili (FCEB) di applicare le patch fornite dai vendor entro le scadenze previste e raccomanda a tutte le organizzazioni di adottare un approccio risk-based immediato. Le misure consigliate includono:

• Verificare immediatamente la versione in uso di FortiOS e Arista VeloCloud Orchestrator.
• Applicare le correzioni ufficiali rilasciate rispettivamente da Fortinet e Arista, consultando i bollettini di sicurezza dedicati.
• In assenza di patch, valutare l’isolamento degli apparati esposti o l’applicazione di controlli di rete restrittivi.
• Monitorare log e flussi per rilevare eventuali tentativi di sfruttamento, sfruttando gli indicatori di compromissione condivisi dai vendor o dalla stessa CISA.

FAQ

1. Cos’è il catalogo Known Exploited Vulnerabilities (KEV)? Il catalogo KEV è un elenco pubblico gestito da CISA che raccoglie le vulnerabilità per cui esiste evidenza di sfruttamento attivo in attacchi reali. La sua funzione è fornire un riferimento prioritario per la remediation, specialmente per le agenzie governative statunitensi soggette a obblighi normativi come la BOD 26-04.

2. La CVE-2025-68686 ha il 2025 come anno: significa che era nota già da tempo? L’anno nell’identificativo CVE è parte del nome e non sempre riflette l’anno di scoperta o correzione; può indicare l’anno di assegnazione iniziale del codice. In questo caso, CISA non ha fornito dettagli sulla storia della vulnerabilità, ma l’inserimento nel KEV avviene solo dopo il rilevamento di exploit attivi, a prescindere dall’età della falla.

3. Cosa deve fare un’organizzazione che utilizza VeloCloud ma non ha ancora ricevuto notifiche dal vendor? Il bollettino CISA conferma che i vendor hanno reso disponibili le indicazioni di mitigazione. È quindi necessario contattare immediatamente il supporto Arista, verificare la versione dell’orchestrator e applicare le patch secondo le procedure ufficiali. Nel frattempo, si consiglia di limitare l’esposizione di rete restringendo l’accesso amministrativo alle sole reti fidate e abilitando log dettagliati.