CVE-2025-25249: heap overflow FortiOS e FortiSwitchManager

Una nuova vulnerabilità critica sta mettendo in allarme i team di sicurezza di tutto il mondo. CVE-2025-25249 è un heap-based buffer overflow che colpisce FortiOS, FortiSwitchManager e alcune build di FortiSASE, ed è già stata confermata come sfruttata attivamente. Se la tua organizzazione utilizza dispositivi Fortinet esposti a Internet, questo articolo ti spiega cosa sta succedendo, quali sono i rischi reali e, soprattutto, cosa fare subito per proteggere la tua infrastruttura.

Cos’è CVE-2025-25249 e perché preoccupa così tanto

CVE-2025-25249 rientra nelle categorie CWE-122 (Heap-based Buffer Overflow) e CWE-787 (Out-of-bounds write). In pratica, un buffer allocato sull’heap viene scritto oltre i suoi limiti quando il dispositivo elabora pacchetti di rete costruiti ad arte. Questo tipo di corruzione della memoria può portare a due scenari entrambi molto seri:

• Esecuzione di codice arbitrario da remoto, senza bisogno di autenticazione
• Crash del processo o del demone coinvolto, con conseguente interruzione del servizio

La vulnerabilità è già stata inserita nel catalogo CISA Known Exploited Vulnerabilities (KEV), il che significa che non si tratta di un rischio teorico: qualcuno la sta già sfruttando attivamente. Per le agenzie federali statunitensi, questo comporta l’obbligo di remediation secondo la direttiva BOD 26-04, un segnale chiaro della gravità della situazione.

Come funziona l’attacco

Il vettore di attacco principale sono pacchetti di rete malformati inviati al servizio vulnerabile. Le analisi pubbliche indicano come possibile punto critico il componente legato alla gestione wireless/controller, in particolare il demone associato a CAPWAP (spesso identificato come “cw_acd”). Tuttavia, l’esposizione reale dipende da quali funzioni sono attive su ciascun dispositivo e da quali porte o servizi risultano raggiungibili dall’esterno.

Il dato più preoccupante è che, se il servizio vulnerabile è raggiungibile dalla rete dell’attaccante, non serve alcuna autenticazione per sfruttare la falla. Questo alza drasticamente il livello di rischio per tutti i dispositivi con interfacce di management o controller esposti pubblicamente.

Quali prodotti Fortinet sono coinvolti

Fortinet ha già rilasciato patch correttive per le principali linee di prodotto. Le versioni interessate includono, a titolo esemplificativo, diverse release delle serie 6.x, 7.0.x, 7.2.x, 7.4.x e 7.6.x di FortiOS e FortiSwitchManager. Anche alcune build di FortiSASE risultano coinvolte.

Prima di procedere con qualsiasi azione, è fondamentale consultare l’avviso ufficiale Fortinet per verificare l’elenco esatto delle versioni affette e delle rispettive patch correttive, dato che i dettagli possono variare da release a release.

Perché i dispositivi Fortinet esposti sono un bersaglio così appetibile

Le appliance di sicurezza, i concentratori VPN e i controller wireless rappresentano quelli che in gergo si chiamano “high-value targets”. Non è un caso: compromettere questi dispositivi apre le porte a scenari molto pericolosi, tra cui:

• Movimento laterale all’interno della rete interna
• Furto di credenziali e certificati
• Alterazione di regole firewall e policy di routing
• Installazione di backdoor persistenti
• Intercettazione del traffico VPN

Per le infrastrutture critiche, un dispositivo Fortinet compromesso può diventare il punto di ingresso privilegiato per un attacco su vasta scala, con conseguenze dirette sulla confidenzialità, integrità e disponibilità dei dati.

Piano d’azione immediato: la checklist operativa

Di fronte a una vulnerabilità di questa portata, servono azioni rapide e ben organizzate. Ecco i passaggi prioritari da seguire.

1. Inventario e prioritizzazione

Il primo passo è capire quanti dispositivi Fortinet hai in produzione e quali sono effettivamente esposti. Classifica gli asset in base al livello di rischio:

• Priorità 1: dispositivi esposti direttamente a Internet e concentratori VPN
• Priorità 2: dispositivi raggiungibili da reti di partner o fornitori
• Priorità 3: dispositivi presenti solo su reti di management interne

2. Patching e mitigazioni temporanee

Applica gli aggiornamenti ufficiali Fortinet il prima possibile. Se il patching immediato non è fattibile, valuta queste mitigazioni:

• Rimuovere l’esposizione pubblica del dispositivo, mettendolo dietro una VPN di gestione
• Applicare ACL stringenti per limitare l’accesso alle porte di management
• Bloccare sorgenti di traffico sospette
• Valutare la disabilitazione temporanea del servizio vulnerabile, se documentata da Fortinet

3. Triage forense: cosa fare prima di riavviare

Se sospetti una compromissione, evita operazioni distruttive (come riavvii o upgrade) prima di aver raccolto le prove. È importante preservare:

• Log di sistema ed eventi (riavvii, crash, core dump)
• Log amministrativi di SSH, HTTPS e CLI
• Log di accesso VPN, con informazioni su chi, quando e da dove
• Backup delle configurazioni attuali e precedenti, utili per un confronto
• Snapshot e immagini del firmware, quando possibile

4. Attività di hunting: cosa cercare nei log

Durante la fase di ricerca attiva delle minacce, concentrati su questi segnali di allarme:

• Crash ricorrenti del demone coinvolto (ad esempio “cw_acd”) o core dump inattesi
• Nuovi account amministrativi non autorizzati
• Connessioni di management da indirizzi IP insoliti o da geografie sospette
• Picchi anomali di traffico verso porte o servizi di management
• Modifiche a regole firewall o oggetti di routing non tracciate nel change control

Cosa fare in caso di compromissione confermata

Se l’analisi forense conferma un attacco riuscito, la risposta deve essere rapida e completa:

1. Isolare immediatamente il dispositivo dalla rete
2. Eseguire un’acquisizione forense completa prima di qualsiasi intervento
3. Reinstallare un firmware pulito, verificato da immagini certificate
4. Ripristinare le configurazioni da backup verificati e sicuri
5. Cambiare tutte le credenziali, chiavi e certificati usati per management e VPN
6. Rivedere la topologia di trust attorno al dispositivo compromesso

Non dimenticare gli aspetti di comunicazione e compliance: per le entità governative statunitensi, la direttiva BOD 26-04 impone scadenze precise per la remediation. In ogni caso, è buona norma contattare Fortinet per supporto tecnico e per eventuali indicatori di compromissione aggiornati.

Lezioni strategiche per il futuro

Questo incidente mette in luce alcune criticità strutturali nella gestione della sicurezza perimetrale che vale la pena affrontare a lungo termine:

• Convergenza di funzioni: dispositivi che uniscono sicurezza, VPN e controller wireless diventano bersagli particolarmente attraenti, perché un singolo exploit può garantire il controllo di ampie porzioni di rete
• Approccio “assume breach”: è necessario progettare le reti partendo dal presupposto che una violazione possa avvenire, riducendo l’esposizione dei piani di management e adottando principi di zero trust
• Segmentazione rigorosa: separare nettamente gli accessi degli utenti finali da quelli amministrativi, applicando microsegmentazione alle risorse più critiche
• Patch management rapido: avere processi di aggiornamento testati e veloci per i dispositivi di rete critici, con piani di rollback pronti all’uso

Investire in un inventario continuo degli asset esposti, integrare le appliance di rete nei sistemi SIEM e sviluppare playbook di incident response specifici sono passi fondamentali per non farsi trovare impreparati alla prossima vulnerabilità critica.

Conclusione

CVE-2025-25249 rappresenta molto più di una semplice vulnerabilità da patchare: è un vero e proprio campanello d’allarme per tutte le organizzazioni che si affidano a dispositivi Fortinet per la propria sicurezza perimetrale. La combinazione di un heap-based buffer overflow critico, exploit attivo confermato e inserimento nel catalogo KEV con obblighi normativi rende la situazione urgente e non rimandabile.

Le priorità sono chiare: fare subito un inventario degli asset esposti, applicare patch o mitigazioni temporanee, condurre un triage forense accurato in caso di sospetto compromesso, e ripensare la postura di sicurezza perimetrale per il futuro. Chi agisce tempestivamente riduce drasticamente il rischio di finire tra le vittime di questa campagna di sfruttamento attivo.