CVE-2025-25249 di Fortinet sfruttata su larga scala per installare la RAT PivotC2

Gli attaccanti hanno scansionato oltre 30.000 indirizzi IP

Attaccanti stanno sfruttando attivamente CVE-2025-25249, una vulnerabilità di esecuzione di codice remoto non autenticata che interessa diversi prodotti Fortinet, per compromettere appliance di sicurezza di rete e installare la remote access trojan PivotC2.

Il 9 settembre 2026 la CISA ha aggiunto la vulnerabilità al proprio catalogo Known Exploited Vulnerabilities. Le agenzie federali statunitensi devono completare la messa in sicurezza entro il 12 settembre 2026, avendo a disposizione tre giorni per proteggere i sistemi esposti ed eseguire le analisi forensi necessarie.

Le indagini di SOCRadar, riportate da SecurityWeek, hanno rivelato che la campagna ha preso di mira oltre 30.000 indirizzi IP e infettato con successo 178 dispositivi. La maggior parte degli obiettivi si trovava negli Stati Uniti e almeno due intrusioni confermate hanno portato all'esfiltrazione di dati.

L'attività è stata attribuita con un livello di fiducia limitato a un probabile attore di cybercrime di lingua russa. I ricercatori ritengono inoltre che PivotC2 sia stato probabilmente creato con l'assistenza dell'intelligenza artificiale, sebbene le prove a supporto di questa conclusione non siano state divulgate. Secondo le segnalazioni, il malware sarebbe comparso negli attacchi almeno da luglio 2026.

Un heap overflow apre la porta senza credenziali

CVE-2025-25249 è un heap-based buffer overflow che può essere innescato da remoto senza autenticazione. Un attaccante invia pacchetti o richieste appositamente predisposti a un prodotto vulnerabile, causando la scrittura di dati oltre il limite assegnato a un buffer nell'heap.

La vulnerabilità è mappata su CWE-122, relativo agli heap-based buffer overflow, e CWE-787, relativo alle scritture out-of-bounds. Lo sfruttamento riuscito consente all'attaccante di eseguire codice o comandi non autorizzati sull'appliance presa di mira.

Non è richiesta alcuna interazione da parte dell'utente. Il vettore CVSS v3.1 del NVD è CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H, che produce un punteggio base di 8,1. Questo vettore riflette l'accessibilità da rete, l'assenza di privilegi richiesti, l'assenza di azioni dell'utente e potenziali effetti gravi su riservatezza, integrità e disponibilità. La complessità dell'attacco è valutata alta.

Una valutazione separata citata da SecurityWeek assegna alla vulnerabilità un punteggio CVSS di 7,4. La CISA non fornisce un punteggio nella scheda KEV. La differenza nei punteggi non cambia lo stato operativo: lo sfruttamento è stato osservato in the wild.

Le relazioni pubbliche disponibili non identificano l'esatto protocollo, la struttura dei pacchetti o la sequenza di corruzione della memoria usata dagli attaccanti. Non descrivono inoltre alcun prerequisito oltre all'accesso a un servizio vulnerabile. Le organizzazioni dovrebbero quindi evitare di prendere decisioni sull'esposizione basandosi su una porta o un'interfaccia soltanto ipotizzata e non confermata.

Sono interessati FortiOS, FortiSwitchManager e FortiSASE

La CISA identifica Fortinet FortiOS, FortiSwitchManager e FortiSASE come prodotti interessati. Le versioni vulnerabili documentate includono:

• FortiOS dalla versione 7.6.0 alla 7.6.3
• FortiOS dalla versione 7.4.0 alla 7.4.8
• FortiOS dalla versione 7.2.0 alla 7.2.11
• FortiOS dalla versione 7.0.0 alla 7.0.17
• FortiOS 6.4, tutte le versioni secondo un intervallo del NVD
• FortiSwitchManager dalla versione 7.2.0 alla 7.2.6
• FortiSwitchManager dalla versione 7.0.0 alla 7.0.5
• FortiSASE 25.1.39

Le versioni corrette segnalate sono FortiOS 7.6.4, 7.4.9, 7.2.12 e 7.0.18, oltre a FortiSwitchManager 7.2.7 e 7.0.6. Gli amministratori dovrebbero installare queste versioni o release supportate più recenti.

Rimane un'incongruenza irrisolta intorno al ramo FortiOS 6.4. I dati di prodotto del NVD usano la soglia «FortiOS below 6.4.17», suggerendo che 6.4.17 sia la prima versione corretta per quel ramo. Tuttavia, l'elenco delle patch segnalato separatamente non include una versione 6.4.x corretta. Le organizzazioni che eseguono ancora FortiOS 6.4 dovrebbero verificare il corretto percorso di aggiornamento direttamente consultando l'avviso di Fortinet, anziché affidarsi unicamente all'elenco delle patch più breve.

Anche FortiSASE richiede particolare attenzione. La CISA e il NVD lo includono tra i prodotti interessati, ma nei report disponibili non è stata divulgata alcuna versione corretta corrispondente per FortiSASE. I clienti dovrebbero ottenere la mitigazione applicabile o l'aggiornamento del servizio direttamente da Fortinet.

Secondo le segnalazioni, la vulnerabilità è stata corretta a gennaio, ma l'anno non è specificato. Questa data mancante non influisce sull'attuale requisito di risposta o sulle prove dello sfruttamento attivo.

PivotC2 trasforma un gateway compromesso in un punto d'appoggio interno

PivotC2 è una RAT basata su Node.js descritta come strumento di post-exploitation per FortiGate. Una volta installata, offre all'operatore l'accesso a una shell interattiva e funzionalità progettate per estendere il controllo oltre l'appliance inizialmente compromessa.

Le funzionalità segnalate includono:

• Esecuzione interattiva di comandi
• Traffic tunneling
• Scansione della rete interna
• Estrazione della configurazione dei dispositivi

Queste capacità rendono un gateway infetto particolarmente utile per il lateral movement. Il traffic tunneling può instradare le comunicazioni dell'attaccante attraverso il dispositivo compromesso, mentre la scansione di rete può identificare i sistemi interni raggiungibili. La raccolta delle configurazioni può esporre la topologia di rete, le impostazioni amministrative o altre informazioni utili per le operazioni successive.

Le infezioni confermate rappresentano una piccola parte dei oltre 30.000 indirizzi IP presi di mira, ma la campagna ha comunque prodotto 178 dispositivi compromessi. I due casi noti di esfiltrazione di dati dimostrano che lo sfruttamento non si è fermato alla validazione della vulnerabilità o all'installazione del malware.

La portata completa potrebbe essere maggiore. Non sono disponibili informazioni su come siano state confermate le 178 infezioni, per quanto tempo gli attaccanti siano rimasti attivi o se tutti gli indirizzi presi di mira rappresentassero sistemi vulnerabili e raggiungibili.

L'inserimento nel KEV impone un'esigenza forense immediata

L'inserimento nel KEV da parte della CISA stabilisce che CVE-2025-25249 non è sfruttabile solo in teoria. Le agenzie federali devono metterla in sicurezza entro il 12 settembre 2026 in base alla direttiva BOD 26-04, seguendo anche i requisiti di Forensics Triage della CISA.

La scheda KEV contrassegna l'associazione con campagne ransomware come unknown. Questo campo non collega l'attività di PivotC2 al ransomware, né esclude un possibile utilizzo in tal senso.

La CISA istruisce le organizzazioni interessate ad applicare le mitigazioni del fornitore, valutare l'esposizione a Internet di ogni asset e seguire le linee guida applicabili della BOD 26-04 per i servizi cloud. Se non è disponibile alcuna mitigazione, l'azione richiesta consiste nel dismettere l'uso del prodotto interessato.

Sebbene la scadenza vincolante si applichi alle agenzie federali statunitensi, le organizzazioni private affrontano lo stesso percorso di sfruttamento. Le appliance Fortinet esposte a Internet dovrebbero ricevere la massima priorità, seguite dai sistemi raggiungibili da reti non attendibili o di partner.

Applicare prima le patch, poi indagare su eventuali compromissioni

Gli amministratori dovrebbero immediatamente inventariare le distribuzioni di FortiOS, FortiSwitchManager e FortiSASE, incluse le appliance che potrebbero non comparire nelle piattaforme standard di endpoint management. Ogni asset identificato dovrebbe essere confrontato con gli intervalli vulnerabili e aggiornato seguendo le istruzioni di Fortinet.

Le sole patch non possono stabilire che un dispositivo precedentemente esposto sia pulito. Le organizzazioni dovrebbero eseguire un triage forense sui sistemi che erano raggiungibili durante il periodo di vulnerabilità, in particolare dove si osservano modifiche alla configurazione, processi inspiegabili, attività di tunneling o scansioni interne insolite.

Non sono stati divulgati hash, domini, indirizzi IP, percorsi di file, nomi di processo o firme di rete per PivotC2. Non è attualmente disponibile nemmeno uno workaround specifico. Il nome del malware e il suo comportamento segnalato sono quindi gli unici indizi pubblici per il rilevamento.

I difensori dovrebbero conservare i log dei dispositivi pertinenti prima dell'aggiornamento, ove operativamente possibile, esaminare la cronologia amministrativa e di configurazione e analizzare la telemetria di rete circostante alla ricerca di connessioni in uscita impreviste o scansioni originate dalle appliance Fortinet. Qualsiasi indicazione di accesso alla shell, raccolta non autorizzata di configurazioni o inoltro di traffico dovrebbe innescare una risposta agli incidenti più ampia.

Quando non sia possibile installare una versione corretta supportata, le organizzazioni dovrebbero applicare la mitigazione documentata da Fortinet. Se non ne esiste alcuna, la rimozione del prodotto dal servizio è l'azione prescritta dalla CISA.