BeyondTrust e Fortinet nel KEV: CISA ordina patch e bonifica immediata

🛡️ Executive Summary

• CISA inserisce CVE-2026-102764 BeyondTrust e CVE-2025-61624 Fortinet nel catalogo KEV dopo evidenze di sfruttamento attivo.
• Mandiant ha scoperto che ARMORY CASTLE, gruppo di cyberspionaggio sospettato di legami con la Cina, sfruttava BeyondTrust Remote Support come zero-day già dalla fine di agosto.
• Per BeyondTrust CISA non chiede soltanto la patch: sui sistemi potenzialmente compromessi raccomanda rebuild da stato noto, rotazione delle credenziali, revoca delle sessioni e verifica delle nuove registrazioni MFA.

BeyondTrust Remote Support era già sotto attacco come zero-day settimane prima che la vulnerabilità diventasse pubblica. Il 16 ottobre CISA ha inserito CVE-2026-102764 nel Known Exploited Vulnerabilities Catalog insieme alla falla Fortinet CVE-2025-61624, ma nel caso BeyondTrust il normale schema “vulnerabilità-patch” è ormai insufficiente. Mandiant ha ricostruito un’intrusione attribuita al cluster ARMORY CASTLE, precedentemente tracciato come UNC5221 e associato con elevata confidenza a operazioni di cyberspionaggio riconducibili alla Cina, che sfruttava il difetto già alla fine di agosto. Dopo l’accesso gli attaccanti installavano web shell, tunneler, modificavano configurazioni interne e cancellavano log. Per questo CISA arriva a raccomandare ricostruzione dell’appliance e rotazione delle credenziali, non soltanto aggiornamento.

BeyondTrust CVE-2026-102764 permette operazioni arbitrarie sui file

Nel bollettino BT26-05 BeyondTrust assegna alla vulnerabilità CVSS 9.3. Il problema riguarda un componente di messaggistica interna di Remote Support che non verifica adeguatamente l’origine dei messaggi ricevuti. In determinate condizioni un attaccante remoto non autenticato può sfruttare questa debolezza per eseguire operazioni sui file dell’appliance. Sono coinvolte tutte le versioni Remote Support fino alla 26.2.3. I clienti SaaS erano già stati corretti automaticamente dal 9 ottobre; gli ambienti self-hosted devono invece applicare manualmente la patch BT26-05-RS se gli aggiornamenti automatici non sono attivi. Le installazioni precedenti alla 24.3.1 devono prima essere portate a una release compatibile. Il rischio BeyondTrust non è nuovo: già a febbraio altre vulnerabilità del vendor avevano imposto aggiornamenti urgenti sugli strumenti di accesso privilegiato. Questa volta, però, esiste la prova che l’attaccante sia arrivato prima della disclosure.

Leggi anche: ColdFusion, BeyondTrust, KVM e Gitea sotto pressione per vulnerabilità critiche

ARMORY CASTLE utilizzava la falla come zero-day da agosto

La ricostruzione di Google Threat Intelligence e Mandiant colloca lo sfruttamento osservato alla fine di agosto 2026, quindi diverse settimane prima dell’advisory pubblico. Dopo CVE-2026-102764, ARMORY CASTLE installava SAWFLY, una web shell PHP offuscata, e BARECLAW, un tunneler utilizzato per mantenere un accesso nascosto attraverso l’infrastruttura del dispositivo. Il livello di conoscenza dell’appliance è uno degli elementi più preoccupanti. L’attaccante utilizza utility CLI proprietarie, modifica template di configurazione e altera il routing interno di HAProxy per esporre attraverso il reverse proxy un servizio in ascolto soltanto su localhost. In questo modo il backdoor listener non appare nelle normali scansioni esterne della macchina. SAWFLY utilizza inoltre comunicazioni cifrate e restituisce HTTP 404 quando non trova il parametro corretto, proprio per confondersi con il rumore ordinario del Web e sfuggire a crawler e scanner automatici. Mandiant ha osservato anche cancellazione sistematica dei log e di altri artefatti.

CISA chiede rebuild e rotazione delle credenziali

È questa fase post-exploitation a spiegare la durezza del nuovo avviso CISA. L’agenzia raccomanda agli ambienti self-hosted esposti di applicare immediatamente la patch, restringere l’accesso esterno e proteggere le interfacce amministrative, ma aggiunge misure che vanno molto oltre. Per sistemi potenzialmente compromessi CISA raccomanda di ricostruire l’appliance da uno stato noto e affidabile, applicare la correzione, ruotare tutte le credenziali conservate o iniettate dal prodotto, revocare le sessioni Remote Support ancora attive e controllare nuove registrazioni MFA sugli account privilegiati. È la distinzione fondamentale già emersa nelle campagne contro firewall Fortinet dove una patch applicata dopo la compromissione non eliminava necessariamente la persistenza dell’attaccante.

Nel KEV entra anche Fortinet CVE-2025-61624

Lo stesso aggiornamento CISA del 16 ottobre inserisce nel catalogo CVE-2025-61624, path traversal che interessa FortiOS, FortiPAM, FortiProxy e FortiSwitchManager. Il caso è interessante perché il punteggio originario non è paragonabile a quello BeyondTrust: il CVE Fortinet ha CVSS 6.5 e richiede un account con profilo amministrativo e almeno permessi read-write. Secondo il record CVE gestito da Fortinet, l’attaccante può utilizzare specifici comandi CLI per scrivere o cancellare file arbitrari. Eppure CISA dispone ora di evidenze sufficienti per considerarlo sfruttato realmente. È una dimostrazione perfetta del motivo per cui il KEV pesa più del solo CVSS: una vulnerabilità Medium utilizzata dagli aggressori può avere priorità operativa superiore a una Critical che rimane soltanto teorica. Fortinet aveva già affrontato a luglio un altro inserimento di FortiOS nel KEV legato a sistemi precedentemente compromessi, confermando quanto firewall e appliance di gestione continuino a essere bersagli privilegiati nelle catene post-compromise.

Le agenzie federali hanno tre giorni per intervenire

Per entrambe le vulnerabilità aggiunte il 16 ottobre, il catalogo KEV indica come scadenza per gli asset federali interessati 19 ottobre 2026. Il termine molto breve riflette anche la nuova impostazione della BOD 26-04, che concentra l’azione sulle vulnerabilità realmente sfruttate e sui sistemi nei quali l’exploitation può produrre controllo significativo. Per il settore privato la direttiva non è obbligatoria, ma il segnale tecnico resta identico. Il catalogo CISA KEV deve essere utilizzato come strumento di priorità basato sull’exploitation reale, non come semplice lista di CVE da aggiungere al vulnerability scanner.

Continua con:

BeyondTrust e WhatsApp sotto attacco tra zero-day e zero-click

FortiGate e botnet MikroTik mostrano il rischio degli apparati perimetrali

BeyondTrust mostra quando patchare non significa più rimediare

Il dettaglio decisivo dell’intero caso è temporale. Quando una vulnerabilità viene sfruttata come zero-day per settimane prima della disclosure, l’arrivo della patch non coincide con la fine dell’incidente. Un’organizzazione può aggiornare l’appliance il giorno stesso dell’advisory e mantenere ugualmente web shell, tunnel, credenziali rubate o accessi privilegiati creati in precedenza. BeyondTrust CVE-2026-102764 rappresenta quindi un caso da incident response prima ancora che da patch management. Fortinet CVE-2025-61624 aggiunge la seconda lezione: non è il numero CVSS a stabilire da solo l’urgenza, ma ciò che gli attaccanti stanno effettivamente facendo con la vulnerabilità. Il KEV del 16 ottobre mette entrambe le dinamiche nella stessa lista: una falla Critical usata come zero-day da un attore di cyberspionaggio e una Medium già sfruttata nel mondo reale. Per i difensori la priorità è la stessa: intervenire prima che la presenza dell’avversario venga scambiata per semplice esposizione teorica.