CISA ordina l'installazione delle patch per le vulnerabilità di Cisco, Citrix e Fortinet entro il 12 settembre

La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto tre vulnerabilità di sicurezza attivamente sfruttate al suo catalogo Known Exploited Vulnerabilities (KEV), un elenco pubblico di debolezze che gli attaccanti stanno già usando in attacchi reali. I prodotti interessati provengono da Cisco, Citrix e Fortinet, tutti comuni nelle reti aziendali. Le agenzie del ramo esecutivo civile federale devono applicare le patch per queste vulnerabilità entro il 12 settembre 2026. Le falle riguardano dispositivi di rete che si trovano al margine dell'infrastruttura di un'organizzazione, dove gestiscono il traffico internet, gli accessi degli utenti e l'accesso remoto.

La prima vulnerabilità, CVE-2026-20079, ha il punteggio CVSS più alto possibile, 10.0. È una vulnerabilità di bypass dell'autenticazione nell'interfaccia web del software Cisco Secure Firewall Management Center (FMC). Un attaccante remoto non autenticato può aggirare l'autenticazione ed eseguire file di script su un dispositivo interessato per ottenere l'accesso root al sistema operativo sottostante. L'accesso root conferisce a un attaccante il pieno controllo del dispositivo. Cisco ha aggiornato il suo avviso per questa vulnerabilità per segnalare che è venuta a conoscenza di tentativi di sfruttamento attivo mirati ad essa nell'agosto 2026, ma l'azienda non ha divulgato ulteriori dettagli sugli attacchi.

La seconda vulnerabilità, CVE-2026-19490, ha un punteggio CVSS di 9.3. Si tratta di un bypass dell'autenticazione in Citrix NetScaler ADC e NetScaler Gateway quando l'appliance è configurata come server virtuale AAA o come Gateway per SSL VPN, ICA Proxy, CVPN o RDP Proxy. Ciò significa che gli attaccanti possono superare le schermate di login su questi dispositivi quando determinate funzionalità di accesso remoto sono attivate. La società di sicurezza Previdian ha osservato attività di sfruttamento mirata ai propri sistemi honeypot, registrando un totale di 56 tentativi dal 3 settembre 2026. Di questi, 36 tentativi sono stati registrati solo l'8 settembre 2026.

La terza vulnerabilità, CVE-2025-25249, ha un punteggio CVSS di 7.3. È una vulnerabilità di buffer overflow basato su heap in Fortinet FortiOS, FortiSwitchManager e FortiSASE. Un attaccante remoto non autenticato può sfruttarla inviando richieste appositamente create che gli consentono di eseguire codice o comandi arbitrari sul dispositivo. La CISA ha aggiunto questa vulnerabilità al catalogo KEV dopo che SOCRadar ha pubblicato un rapporto su una campagna di attacco malevola che si sospetta abbia weaponizzato la falla per distribuire un ricco trojan di accesso remoto (RAT) Node.js chiamato PivotC2. Il framework di post-sfruttamento supporta shell interattive, tunneling, scansione di rete e raccolta di configurazioni. SOCRadar stima che siano stati presi di mira più di 3.000 indirizzi IP, con conseguente infezione di 178 dispositivi con PivotC2. La maggior parte delle compromissioni è concentrata negli Stati Uniti e si valuta che l'attività sia opera di un attore di minaccia di lingua russa mosso da guadagni finanziari. La prima prova dello sfruttamento attivo della vulnerabilità risale a luglio 2026.

Negli attacchi osservati, uno script shell contenente un binario di exploit prende di mira un'istanza FortiGate vulnerabile per stabilire una reverse shell ed eseguire un comando JavaScript su una sola riga tramite Node.js. Ciò porta al download di un payload JavaScript di secondo stadio, che viene decifrato ed eseguito per distribuire PivotC2. SOCRadar ha descritto PivotC2 come capace di stabilire una connessione TLS (Transport Layer Security) in uscita persistente verso un server di comando e controllo (C2) remoto. Il suo set di funzionalità include shell interattive, trasferimenti di file, tunneling proxy SOCKS5/HTTP, port forwarding locale e remoto, scansione di intervalli CIDR e raccolta di configurazioni e decifratura di credenziali specifiche di FortiGate. Un flag di modalità automatica consente operazioni autonome, eseguendo automaticamente una sequenza di comandi predefinita all'infezione iniziale.

L'aggiunta di Cisco arriva anche insieme a un rapporto separato della società di sicurezza Sygnia, che ha dichiarato di aver osservato un gruppo di spionaggio informatico legato alla Cina, soprannominato Fire Ant, ottenere accesso non autorizzato a router Cisco IOS XR e abusarne per facilitare persistenza, raccolta di dati e accesso più profondo a reti di alto valore tramite malware personalizzato. Sygnia ha osservato che questo comportamento sposta il ruolo del router da dispositivo di transito a piattaforma di raccolta, dando all'attaccante un punto di osservazione privilegiato per monitorare il traffico che passa attraverso percorsi di rete fidati. Sebbene questo rapporto riguardi una diversa linea di prodotti Cisco, sottolinea la più ampia attenzione che gli attaccanti dedicano all'infrastruttura di rete.

Questi sviluppi dimostrano che gli attori di minaccia scansionano continuamente i dispositivi perimetrali esposti per ottenere l'accesso iniziale, spesso approfittando della mancanza di un monitoraggio robusto o di registrazione di telemetria. Per le organizzazioni che utilizzano prodotti Fortinet, SOCRadar raccomanda di limitare l'accesso a internet, cercare indicatori di compromissione, ruotare le credenziali e applicare le patch più recenti. Per le aziende che gestiscono appliance di rete, AEU-I fornisce consulenza IT e infrastrutturale orientata alla sicurezza per supportare la gestione delle patch e il monitoraggio della sicurezza.