CVE-2025-25249 viene sfruttata attivamente contro dispositivi Fortinet e CISA l’ha inserita il 9 settembre 2026 nel catalogo delle vulnerabilità note sfruttate. Il problema interessa FortiOS, FortiSwitchManager e alcune versioni FortiSASE e può consentire esecuzione di codice o comandi da remoto senza autenticazione tramite pacchetti appositamente costruiti.
La priorità operativa è chiara: verificare la versione installata, applicare il firmware corretto e non considerare la sola patch sufficiente se ci sono segnali di compromissione. Una ricerca pubblicata da SOCRadar l’8 settembre collega lo sfruttamento della falla a PivotC2, un RAT progettato per la post-exploitation di appliance FortiGate.
CVE-2025-25249: quali prodotti sono coinvolti
Il riferimento principale resta l’advisory Fortinet FG-IR-25-084. Fortinet descrive CVE-2025-25249 come un heap-based buffer overflow nel demone cw_acd, componente collegato alla gestione CAPWAP degli access point wireless.
| Prodotto | Versioni interessate | Versione corretta |
|---|---|---|
| FortiOS 7.6 | 7.6.0 – 7.6.3 | 7.6.4 o successiva |
| FortiOS 7.4 | 7.4.0 – 7.4.8 | 7.4.9 o successiva |
| FortiOS 7.2 | 7.2.0 – 7.2.11 | 7.2.12 o successiva |
| FortiOS 7.0 | 7.0.0 – 7.0.17 | 7.0.18 o successiva |
| FortiOS 6.4 | 6.4.0 – 6.4.16 | 6.4.17 o successiva |
| FortiSwitchManager 7.2 | 7.2.0 – 7.2.6 | 7.2.7 o successiva |
| FortiSwitchManager 7.0 | 7.0.0 – 7.0.5 | 7.0.6 o successiva |
FortiSASE compare anch’esso tra i prodotti coinvolti in build specifiche. Per il servizio gestito e per release non riportate nella tabella conviene controllare direttamente il portale Fortinet, perché il percorso di aggiornamento dipende dal ramo e dal servizio effettivamente in uso.
Perché la falla è urgente anche se Fortinet la valuta 7.4
Fortinet assegna alla vulnerabilità un punteggio CVSS 3.1 di 7.4, con complessità d’attacco elevata. La classificazione numerica, però, non deve essere letta da sola: CISA l’ha aggiunta al catalogo KEV perché esistono evidenze di sfruttamento reale. Per le agenzie federali statunitensi la data di remediation indicata è il 12 settembre 2026.
In pratica, un dispositivo esposto e vulnerabile va trattato con priorità superiore rispetto a una CVE teorica con punteggio più alto ma senza attacchi osservati. Lo stesso criterio vale per altre falle recenti su apparati di rete, come la CVE-2026-20079 che colpisce Cisco Secure FMC.
Cos’è PivotC2 e cosa cambia dopo la compromissione
La ricerca di SOCRadar su PivotC2 descrive una campagna osservata almeno da luglio 2026. Dopo lo sfruttamento della vulnerabilità, gli attaccanti possono distribuire un RAT Node.js costruito per funzionare su FortiGate compromessi.
PivotC2 può mantenere una connessione TLS in uscita verso l’infrastruttura di comando e controllo, aprire shell, trasferire file, creare tunnel verso la rete interna e raccogliere configurazioni. Il punto più delicato è che una firewall compromesso può diventare un punto di ingresso verso altri sistemi, non soltanto un dispositivo da aggiornare e dimenticare.
Per questo il caso va distinto da una semplice patch ordinaria. Se il sistema mostra indicatori anomali, la domanda non è più soltanto “ho installato il firmware corretto?”, ma anche “cosa può essere stato raggiunto prima della correzione?”.
Cosa fare subito su FortiGate e FortiSwitchManager
- Censisci i dispositivi FortiGate, FortiOS, FortiSwitchManager e FortiSASE presenti nell’ambiente.
- Controlla la build completa e confrontala con FG-IR-25-084, senza basarti soltanto sul numero principale della release.
- Aggiorna al ramo corretto indicato da Fortinet e verifica la build dopo il riavvio.
- Riduci l’esposizione del servizio CAPWAP sulle interfacce esterne quando non è necessario.
- Rivedi log, configurazioni e connessioni per attività anomale precedenti alla patch.
- Se emergono indicatori compatibili con una compromissione, ruota credenziali, chiavi e segreti raggiungibili dall’appliance e avvia un’analisi incident response.
Se non puoi aggiornare immediatamente
Fortinet indica mitigazioni basate sulla riduzione dell’esposizione del servizio interessato. In particolare, quando la funzione non serve dall’esterno, è possibile disabilitare il fabric service sulle interfacce esposte oppure applicare una local-in policy che blocchi il traffico CAPWAP in ingresso.
Queste misure servono a ridurre il rischio durante la finestra di manutenzione, ma non sostituiscono l’aggiornamento. Prima di modificare una policy su un firewall di produzione verifica sempre che la funzione non sia necessaria per access point o servizi gestiti dalla stessa appliance.
La patch rimuove PivotC2?
No. Il firmware corretto chiude il percorso di sfruttamento descritto da CVE-2025-25249, ma non può cancellare automaticamente una compromissione già avvenuta né rendere nuovamente segrete credenziali eventualmente sottratte.
Se l’appliance risulta compromessa, considera un ripristino da uno stato noto e affidabile, la rotazione delle credenziali e una verifica della rete interna. È lo stesso principio applicato alle vulnerabilità già sfruttate di browser e sistemi: anche nel caso della CVE-2026-87491 corretta in Chrome 153, installare la patch riduce l’esposizione futura ma non ricostruisce ciò che è successo prima.
CVE-2025-25249: il controllo da fare oggi
Se gestisci FortiGate o FortiSwitchManager, non limitarti a verificare se gli aggiornamenti automatici sono attivi. Controlla la versione effettiva dell’appliance, confrontala con il bollettino Fortinet e applica il ramo corretto. Se il dispositivo è esposto a Internet o gestisce reti critiche, aggiungi anche una verifica forense minima dei log e delle configurazioni.
La combinazione tra sfruttamento attivo, appliance perimetrali e capacità di PivotC2 di creare tunnel verso la rete interna rende CVE-2025-25249 una vulnerabilità da trattare subito. Aggiornare è il primo passo; capire se qualcuno è arrivato prima della patch è il secondo.
