CVE-2025-68686
Una vulnerabilità di esposizione di informazioni sensibili a un attore non autorizzato [CWE-200] in Fortinet FortiOS dalla 7.6.0 alla 7.6.1, FortiOS dalla 7.4.0 alla 7.4.6, FortiOS 7.2 tutte le versioni, FortiOS 7.0 tutte le versioni, FortiOS 6.4 tutte le versioni potrebbe consentire a un attaccante remoto non autenticato di aggirare la patch sviluppata per il meccanismo di persistenza tramite symbolic link osservato in alcuni casi post-exploit, tramite richieste HTTP appositamente create. Un attaccante dovrebbe prima aver compromesso il prodotto tramite un'altra vulnerabilità, a livello di filesystem.
Sfruttata attivamente
- Nel catalogo CISA delle vulnerabilità sfruttate dal 27 lug 2026
- Le agenzie federali statunitensi devono correggerla entro il 10 ago 2026 (direttiva BOD 22-01)
- Primo attacco osservato 166 giorni dopo la divulgazione
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Fonte: CISA KEV · 7 ago 2026 27 lug 2026 27 lug 2026
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:NProdotti coinvolti
| Vendor | Prodotto | Versioni |
|---|---|---|
| fortinet | fortios | < 7.4.7 |
Articoli correlati
VulnerabilitàCISA lancia l’allarme su due nuove vulnerabilità attivamente sfruttate in FortiOS e Arista VeloCloud
CISA segnala due nuove vulnerabilità attivamente sfruttate in FortiOS e Arista VeloCloud. Scopri i dettagli, l'impatto e le mitigazioni da adottare subito.
RansomwareGunra, il ransomware derivato da Conti che ora sfrutta firewall e VPN esposti
Scopri come il ransomware Gunra, derivato da Conti, sfrutta vulnerabilità in firewall e VPN esposti per attaccare organizzazioni in diversi settori.
VulnerabilitàRay entra nel catalogo KEV: sfruttamento attivo contro gli ambienti di sviluppo AI
La CISA inserisce CVE-2025-62593 di Anyscale Ray nel catalogo KEV per sfruttamento attivo. Aggancio a ransomware Medusa e altre vulnerabilità critiche.
This product uses the NVD API but is not endorsed or certified by the NVD.
La descrizione tecnica è una nostra traduzione del testo originale NVD, in inglese.