Fortinet risolve vulnerabilità critiche di autenticazione in FortiMonitorOnSight e nell’estensione Chrome

Fortinet ha rilasciato aggiornamenti di sicurezza per dieci vulnerabilità presenti nel proprio portafoglio prodotti, tra cui due falle critiche sfruttabili da remoto senza autenticazione.

I problemi più urgenti riguardano il portale web FortiMonitorOnSight e l’estensione Fortinet Privileged Access Agent per Google Chrome. Il primo può esporre funzioni protette del portale tramite JSON Web Token falsificati o riutilizzati, mentre il secondo può consentire a un sito web malevolo di trasformare il browser della vittima in un proxy per il traffico.

L’azienda non ha rilevato prove di sfruttamento in-the-wild. Le vulnerabilità sono state divulgate nell’ambito del rilascio degli aggiornamenti di sicurezza del martedì di Fortinet e segnalate il 9 settembre 2026.

I JWT falsificati o riutilizzati possono aggirare l’autenticazione di FortiMonitorOnSight

Identificata come CVE-2026-84390, la vulnerabilità di FortiMonitorOnSight ha un punteggio CVSS di 9,6. Fortinet descrive la debolezza alla base del problema come un’esposizione di informazioni sensibili all’interno del codice sorgente del portale web.

Per sfruttarla, un attaccante remoto non deve disporre di un account esistente. Inviando un JSON Web Token falsificato o riutilizzando un token accettato dall’applicazione, l’attaccante potrebbe aggirare i controlli di autenticazione del portale.

I JWT contengono comunemente attestazioni firmate che identificano un utente e definiscono le risorse a cui può accedere. La loro sicurezza dipende dalla corretta verifica della firma, dalla gestione sicura del materiale utilizzato per la firma e da controlli che impediscano di accettare token scaduti o già utilizzati. In questo caso, le informazioni esposte possono favorire la creazione o il riutilizzo di un token in grado di superare i controlli del portale.

Lo sfruttamento riuscito potrebbe garantire un accesso non autorizzato alle funzioni protette del portale. Le informazioni disponibili non specificano se gli attaccanti possano ottenere privilegi amministrativi, modificare le configurazioni di monitoraggio o raggiungere i sistemi gestiti tramite il portale.

Fortinet non ha reso note le versioni di FortiMonitorOnSight interessate e quelle corrette. Gli amministratori dovrebbero quindi consultare l’avviso PSIRT specifico del prodotto pubblicato da Fortinet prima di stabilire se un’installazione è esposta.

Una vulnerabilità dell’estensione Chrome può inoltrare il traffico del browser della vittima tramite un proxy

La seconda vulnerabilità critica, CVE-2026-84388, interessa l’estensione Fortinet Privileged Access Agent per Chrome e ha un punteggio CVSS di 9,1.

Il problema deriva da un’autenticazione non corretta tra i componenti coinvolti nelle operazioni di accesso privilegiato. Lo sfruttamento inizia quando un utente con l’estensione interessata visita un sito web controllato da un attaccante. L’attacco può essere condotto da remoto e non richiede che l’attaccante si autentichi preventivamente all’infrastruttura Fortinet.

Un attacco riuscito potrebbe fare in modo che il traffico del browser della vittima venga inoltrato attraverso un percorso controllato dall’attaccante. A seconda dei controlli di sicurezza presenti e dei confini di cifratura, ciò potrebbe consentire di osservare il traffico, interferire con le richieste o manipolare i dati trasmessi dal browser.

La correzione richiede aggiornamenti su entrambi i lati dell’integrazione:

• Aggiornare FortiPAM alla versione 1.9.1 o 1.8.4.
• Aggiornare l’estensione Fortinet Privileged Access Agent per Chrome alla versione 8.0.1.123 o successiva.

Aggiornare solo FortiPAM o solo l’estensione del browser non è sufficiente. Le organizzazioni dovrebbero verificare entrambe le versioni, senza affidarsi esclusivamente allo stato delle patch del server centralizzato.

Gli ambienti Chrome gestiti possono utilizzare l’inventario di gestione del browser per individuare le installazioni obsolete dell’estensione. I team di sicurezza dovrebbero inoltre verificare se gli aggiornamenti automatici delle estensioni sono abilitati e se gli utenti possono conservare copie installate localmente o non gestite.

Le vulnerabilità di FortiSandbox e dei portali ZTNA Agentless possono avere conseguenze gravi

Fortinet ha inoltre corretto due vulnerabilità significative in FortiSandbox e nei portali Agentless ZTNA forniti da FortiOS e FortiProxy.

CVE-2026-26084 interessa FortiSandbox e potrebbe esporre informazioni sensibili. Ha un punteggio CVSS 3.1 di 9,9, con il seguente vettore:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:H

Il vettore indica che lo sfruttamento è possibile tramite la rete, richiede una bassa complessità di attacco e non necessita né di privilegi né dell’interazione dell’utente. L’ambito è modificato: ciò significa che lo sfruttamento può compromettere un’autorità di sicurezza diversa da quella del componente vulnerabile. L’impatto valutato include compromissioni limitate della riservatezza e dell’integrità, ma un impatto elevato sulla disponibilità.

Sebbene la vulnerabilità sia stata presentata tra le correzioni ad alta gravità di Fortinet, il punteggio CVSS fornito rientra nell’intervallo critico secondo la scala di valutazione standard CVSS 3.1. Fortinet non ha reso note le versioni di FortiSandbox interessate e quelle corrette.

L’altro problema, CVE-2026-84393, interessa il portale FortiOS e FortiProxy Agentless ZTNA. Potrebbe consentire attacchi man-in-the-middle e ha un punteggio CVSS di 8,1:

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

La vulnerabilità è raggiungibile da remoto e non richiede privilegi né l’interazione dell’utente, anche se lo sfruttamento presenta un’elevata complessità. Un attacco riuscito potrebbe avere un impatto elevato sulla riservatezza, sull’integrità e sulla disponibilità.

Una condizione man-in-the-middle che coinvolge un portale ZTNA è particolarmente rilevante perché il portale media l’accesso tra gli utenti e le applicazioni protette. I dettagli disponibili non stabiliscono quali traffici o procedure di autenticazione possano essere intercettati, né individuano le condizioni necessarie per ottenere la posizione di rete richiesta.

Non sono state fornite informazioni sulle versioni corrette per CVE-2026-26084 o CVE-2026-84393.

Altre sei vulnerabilità interessano il portafoglio di sicurezza di Fortinet

Le restanti vulnerabilità, di gravità media e bassa, riguardano un ampio insieme di prodotti enterprise:

• FortiManager
• FortiAnalyzer
• FortiSandbox
• FortiSOAR
• FortiClient for Windows
• FortiSIEM
• FortiOS
• FortiProxy
• FortiPAM

A seconda del prodotto e della debolezza, lo sfruttamento potrebbe aggirare i flussi di approvazione, eseguire codice arbitrario, iniettare messaggi broadcast, reindirizzare gli utenti verso siti web scelti dall’attaccante o causare condizioni di denial-of-service.

Tra gli altri possibili effetti figurano la terminazione dei processi e il crash del demone httpsd. Sugli appliance Fortinet, un malfunzionamento di httpsd può interrompere la gestione basata sul web o un altro servizio che dipende da quel demone, anche se il dispositivo sottostante continua a funzionare.

Le informazioni disponibili non riportano gli identificativi CVE individuali, le release interessate né le versioni corrette per queste ulteriori vulnerabilità. Gli amministratori dovranno consultare gli avvisi PSIRT di Fortinet per associare ogni vulnerabilità alle build dei prodotti installate.

I responsabili della difesa devono dare priorità ai portali esposti e agli aggiornamenti coordinati

Le istanze di FortiMonitorOnSight accessibili da Internet richiedono attenzione immediata, perché CVE-2026-84390 è sfruttabile da remoto senza credenziali. Fino a quando non saranno confermate e installate le release corrette pertinenti, i responsabili della difesa dovrebbero ridurre l’esposizione non necessaria tramite i controlli di accesso alla rete o altre restrizioni amministrative già disponibili.

I clienti FortiPAM dovrebbero considerare l’aggiornamento del server e quello dell’estensione Chrome come un’unica modifica. I team incaricati della distribuzione dovrebbero verificare che FortiPAM esegua la versione 1.9.1 o 1.8.4 e che tutte le estensioni gestite siano state aggiornate alla versione 8.0.1.123 o successiva.

Le attività di monitoraggio dovrebbero concentrarsi su:

• Autenticazioni riuscite associate a JWT insoliti o già osservati in precedenza.
• Riutilizzo ripetuto di token da indirizzi, sessioni o user agent differenti.
• Configurazioni proxy del browser inattese o modifiche inspiegabili nei percorsi del traffico.
• Connessioni sospette avviate dopo la visita a siti web non affidabili.
• Indicatori di intercettazione che coinvolgono sessioni Agentless ZTNA.
• Accessi insoliti a informazioni sensibili di FortiSandbox.
• Crash di httpsd, terminazione di processi o interruzioni inspiegabili dei servizi.

Fortinet non ha segnalato lo sfruttamento attivo di nessuna delle dieci vulnerabilità. Per questi problemi non sono state segnalate inclusioni nel catalogo Known Exploited Vulnerabilities di CISA, relative scadenze per la correzione o designazioni di utilizzo da parte di gruppi ransomware.