Tre vulnerabilità sfruttate colpiscono FortiOS, VeloCloud e Fastjson

🛡️ Executive Summary

• CVE-2026-16723 consente RCE contro applicazioni Spring Boot fat-JAR che usano Fastjson 1.2.68-1.2.83 con SafeMode disattivata.
• CVE-2026-16812 espone VeloCloud Orchestrator on-prem a command injection pre-auth con impatto completo sull’orchestratore e sui dati gestiti.
• Fastjson richiede SafeMode o migrazione a Fastjson2; VeloCloud deve essere aggiornato e sottoposto a verifiche forensi dopo la patch.

Tre vulnerabilità già osservate negli attacchi richiedono interventi urgenti, ma appartengono a due segnalazioni distinte. CISA ha inserito nel catalogo Known Exploited Vulnerabilities CVE-2025-68686, relativa a Fortinet FortiOS, e CVE-2026-16812, che colpisce Arista VeloCloud Orchestrator on-prem. Separatamente, ThreatBook ha rilevato lo sfruttamento di una falla RCE in Fastjson 1.x, alla quale non risulta ancora assegnato un codice CVE. FortiOS espone dati sensibili su dispositivi già compromessi, VeloCloud permette comandi remoti senza autenticazione e Fastjson può portare all’esecuzione di codice in specifiche applicazioni Java prive di SafeMode.

CISA aggiunge FortiOS e VeloCloud al catalogo KEV

L’aggiornamento pubblicato da CISA il 27 luglio 2026 riguarda esclusivamente due vulnerabilità: CVE-2025-68686 in Fortinet FortiOS e CVE-2026-16812 in Arista VeloCloud Orchestrator on-prem. L’inserimento nel catalogo Known Exploited Vulnerabilities indica che l’agenzia statunitense dispone di evidenze sufficienti dello sfruttamento reale, condizione differente dalla semplice pubblicazione di un proof of concept o dalla valutazione teorica della gravità. Le agenzie federali civili devono applicare le mitigazioni entro il 10 agosto 2026, mentre le organizzazioni private possono utilizzare la stessa scadenza come riferimento operativo.

• CVE-2025-68686 Fortinet FortiOS Exposure of Sensitive Information to an Unauthorized Actor Vulnerability
• CVE-2026-16812 Arista VeloCloud Orchestrator On-Prem OS Command Injection Vulnerability

Il catalogo KEV non ordina le vulnerabilità soltanto in base al punteggio CVSS: include anche problemi di severità media quando gli attaccanti li utilizzano concretamente e quando la loro funzione all’interno di una catena di compromissione produce un rischio elevato. La guida al catalogo CISA KEV e alla cyber-intelligence operativa chiarisce perché la presenza nell’elenco debba avviare sia il patching sia una verifica retroattiva dei sistemi, soprattutto quando la vulnerabilità interessa firewall, orchestratori e apparati esposti direttamente a Internet.

FortiOS permette di riattivare una persistenza già installata

CVE-2025-68686 è una vulnerabilità di esposizione di informazioni sensibili in FortiOS SSL-VPN, valutata 5,9 su 10. Il punteggio medio non deve però essere interpretato come un rischio ordinario, perché la falla interviene dopo una precedente compromissione del filesystem del dispositivo. Gli attaccanti che avevano già violato un FortiGate attraverso un’altra vulnerabilità potevano creare un collegamento simbolico nella directory utilizzata dalle personalizzazioni linguistiche della SSL-VPN e impiegarlo per leggere file sensibili, comprese configurazioni, credenziali e informazioni sulla rete. Fortinet aveva distribuito una mitigazione contro questo meccanismo di persistenza, ma CVE-2025-68686 consente di aggirarla mediante richieste HTTP appositamente costruite. La vulnerabilità non offre quindi da sola il primo accesso al firewall: permette a un operatore già presente sul dispositivo di continuare a raggiungere informazioni riservate anche dopo l’applicazione di una precedente patch. Sono coinvolte FortiOS 7.6.0 e 7.6.1, le versioni dalla 7.4.0 alla 7.4.6 e tutti i rami 7.2, 7.0 e 6.4 indicati dal bollettino. Fortinet ha corretto il problema in FortiOS 7.6.2 e 7.4.7, mentre gli ambienti sui rami più vecchi devono seguire il percorso di aggiornamento indicato dal produttore. Il caso sviluppa il rischio già emerso con FortiBleed e il furto di credenziali dai firewall Fortinet: aggiornare il firmware non garantisce che una persistenza creata prima della correzione sia stata eliminata.

I FortiGate devono essere controllati oltre la semplice patch

La remediation di CVE-2025-68686 richiede una verifica più profonda del numero di versione. Poiché lo sfruttamento presuppone che l’attaccante abbia già ottenuto accesso al filesystem, le organizzazioni devono considerare potenzialmente compromessi i FortiGate che presentano collegamenti simbolici anomali, file inattesi nelle directory SSL-VPN, accessi HTTP sospetti o download non autorizzati delle configurazioni. Il bypass individuato sfrutta differenze nella normalizzazione dei percorsi URL per raggiungere nuovamente il collegamento simbolico che la precedente mitigazione avrebbe dovuto rendere inaccessibile. Un dispositivo aggiornato dopo essere stato violato potrebbe quindi continuare a esporre dati fino alla rimozione degli artefatti persistenti. Gli amministratori devono acquisire log e configurazioni prima di apportare modifiche, controllare account locali, chiavi, certificati, impostazioni VPN, regole firewall e connessioni verso infrastrutture esterne. In presenza di indicatori sospetti, la risposta deve includere il ripristino da firmware e configurazioni affidabili, insieme alla rotazione delle credenziali accessibili dal firewall. CISA aveva già richiamato l’attenzione sugli attacchi attivi contro Fortinet, cPanel e SimpleHelp, confermando come gli apparati perimetrali rimangano bersagli prioritari perché concentrano accesso remoto, certificati e conoscenza della topologia aziendale.

VeloCloud espone una command injection senza autenticazione

CVE-2026-16812 interessa Arista VeloCloud Orchestrator on-prem ed è valutata 10 su 10 sia secondo CVSS 3.1 sia secondo CVSS 4.0. Una funzione privilegiata progettata per l’uso interno risultava raggiungibile attraverso l’interfaccia web, permettendo a un attaccante remoto di iniettare comandi nel sistema operativo senza possedere credenziali tenant o operator. Lo sfruttamento può compromettere riservatezza, integrità e disponibilità dell’orchestratore e dei dati gestiti, con possibili conseguenze anche sui dispositivi VeloCloud Edge amministrati dalla piattaforma. L’interfaccia VCO è esposta per impostazione predefinita e non esiste una configurazione capace di eliminare completamente il percorso vulnerabile; restringere l’accesso alle sole reti amministrative affidabili riduce il rischio, ma non sostituisce l’aggiornamento. Sono vulnerabili le versioni 5.2 precedenti alla 5.2.3.14, 6.1 precedenti alla 6.1.3.4, 6.4 precedenti alla 6.4.2.4 e 7.0 precedenti alla 7.0.0.1. Le versioni Hosted e Dedicated erano già state corrette prima della divulgazione. La compromissione del piano di controllo SD-WAN assume un peso superiore a quella di un normale server applicativo, perché l’orchestratore contiene inventario, configurazioni, credenziali, certificati e informazioni necessarie a gestire l’intera rete. La precedente falla Cisco SD-WAN capace di ottenere privilegi root aveva già mostrato quanto gli apparati di orchestrazione rappresentino un bersaglio strategico.

Arista pubblica gli IP osservati negli attacchi

Arista ha confermato che CVE-2026-16812 è sfruttata attivamente e ha indicato tre indirizzi IP osservati durante gli attacchi: 8.19.75.217, 206.72.242.124 e 206.72.242.162. Il blocco degli indirizzi può ridurre l’esposizione verso l’infrastruttura conosciuta, ma non rappresenta una mitigazione completa perché gli operatori possono cambiare rapidamente server e origine delle connessioni. Gli amministratori devono esaminare i log web alla ricerca di percorsi anomali, caratteri codificati, riferimenti a servizi locali, volumi elevati di richieste e accessi provenienti dagli indicatori pubblicati.

Nei log applicativi e di sistema occorre cercare esecuzioni di comandi, file creati senza autorizzazione, esportazioni del database, archivi inattesi, modifiche privilegiate e connessioni HTTP o HTTPS in uscita dal VCO. Il bollettino Arista dedicato a CVE-2026-16812 raccomanda di preservare le evidenze prima della remediation e avverte che una compromissione dell’orchestratore può estendersi ai dispositivi Edge gestiti. La risposta deve quindi comprendere rotazione di credenziali e certificati, verifica delle configurazioni distribuite, controllo dello stato degli apparati e, quando necessario, ricostruzione dell’istanza da una fonte affidabile.

Fastjson resta una vulnerabilità separata senza codice CVE

La vulnerabilità di Fastjson non fa parte dell’aggiornamento CISA del 27 luglio e, secondo ThreatBook, non dispone ancora di un codice CVE. La società la traccia come XVE-2026-39684 e afferma di averne rilevato lo sfruttamento attivo contro server che utilizzano Fastjson fino alla versione 1.2.83 con SafeMode disattivata. Un attaccante remoto può inviare JSON appositamente costruito a un’applicazione raggiungibile dalla rete e tentare di caricare una classe controllata attraverso riferimenti a risorse JAR. La riproducibilità varia in base al packaging e al runtime: ThreatBook ha ottenuto una RCE completa su Spring Boot fat-JAR con JDK 8, mentre in un ambiente Spring Boot con Tomcat embedded ha osservato il recupero remoto della risorsa e un comportamento assimilabile a SSRF senza completare l’esecuzione di codice.

Questa differenza impedisce di considerare automaticamente vulnerabile ogni applicazione che incorpora Fastjson 1.x, ma richiede un inventario preciso delle dipendenze, della modalità di distribuzione e degli endpoint che elaborano input JSON. La difficoltà richiama la vulnerabilità Spring4Shell nelle applicazioni Java, la cui sfruttabilità dipendeva dalla combinazione tra framework, server, packaging e configurazione.

Fastjson 1.x deve essere dismessa

Fastjson 1.x non è più mantenuta e non esiste una versione corretta all’interno del ramo storico. La mitigazione immediata consiste nell’attivare SafeMode mediante ParserConfig.getGlobalInstance().setSafeMode(true), il parametro JVM -Dfastjson.parser.safeMode=true oppure la proprietà equivalente nel file di configurazione. ThreatBook suggerisce inoltre di bloccare al perimetro richieste JSON contenenti le stringhe associate ai percorsi jar:file e jar:http, ma il controllo WAF o IPS deve essere considerato temporaneo perché payload differenti potrebbero aggirare firme troppo rigide. La soluzione strutturale resta la migrazione a Fastjson2, insieme alla ricerca della libreria nelle dipendenze transitive, nelle immagini container e nei prodotti di terze parti. La ricerca di ThreatBook sullo sfruttamento di Fastjson 1.2.83 distingue chiaramente le condizioni riprodotte, l’assenza di una patch ufficiale e la necessità di abbandonare il ramo 1.x. L’allerta CISA del 27 luglio riguarda invece soltanto FortiOS e VeloCloud, separazione essenziale per non attribuire all’agenzia una terza vulnerabilità estranea a quell’aggiornamento.