Analisi tecnica e business sulle criticità di Fortinet (CVE-2026-106173) e Stormshield. Impatti su FortiSIEM e rischi di Path Traversal per le imprese.

I vostri firewall sono sicuri?

Immaginate un sistema di sicurezza progettato per essere il guardiano invalicabile dell'intera infrastruttura aziendale. Un dispositivo che filtra il traffico, monitora gli accessi e garantisce che solo il personale autorizzato possa toccare i dati sensibili. Per molti imprenditori, l'installazione di un firewall di fascia alta come quelli di Fortinet o Stormshield rappresenta la chiusura del cerchio della protezione. Tuttavia, la realtà tecnica è che anche il guardiano può avere una porta secondaria dimenticata aperta.

Recentemente, l'Agenzia per la Cybersicurezza Nazionale (ACN) ha emesso diversi alert che mettono in luce come i componenti di gestione e analisi della rete possano diventare, paradossalmente, il punto di ingresso per un attaccante. Non parliamo di errori umani di configurazione, ma di falle strutturali nel codice. Quando un software di sicurezza presenta una vulnerabilità critica, l'intero concetto di perimetro aziendale viene meno: l'attaccante non deve più forzare la porta principale, ma può letteralmente camminare attraverso le pareti.

9.4 è il punteggio critico

Nel mondo della cybersecurity, il CVSS (Common Vulnerability Scoring System) fornisce una misura numerica della pericolosità di una falla. Un punteggio di 9.4, assegnato alla CVE-2026-106173 che colpisce Fortinet, non è un semplice dato statistico. È un segnale d'allarme rosso. Un valore simile indica che la vulnerabilità è facilmente sfruttabile, richiede pochissimi privilegi (o nessuno) e ha un impatto devastante sulla riservatezza e l'integrità dei dati.

L'analisi tecnica di ACN evidenzia che questa specifica falla interessa il componente phQueryMaster di FortiSIEM, focalizzandosi sull'handler QueryResultReq del servizio gRPC. Il rischio concreto è l'esecuzione di codice o comandi non autorizzati. Per un'azienda, questo significa che un soggetto esterno potrebbe prendere il controllo del sistema di monitoraggio della sicurezza, cancellando le tracce della propria intrusione o, peggio, utilizzando il server come base per muoversi lateralmente all'interno della rete aziendale.

Analisi strategica: Il pericolo è amplificato dalla disponibilità in rete di un Proof of Concept (PoC). In termini di business, la presenza di un PoC riduce drasticamente il tempo tra la scoperta della falla e l'inizio degli attacchi massivi, poiché anche operatori meno esperti possono replicare l'exploit. L'indicatore verificabile per il management sarà il monitoraggio dei log di accesso al servizio gRPC nei prossimi 30 giorni: un picco di richieste anomale verso l'handler QueryResultReq indicherebbe un tentativo di sfruttamento attivo.

Il trucco del Path Traversal

Per capire come un attaccante possa penetrare in un sistema blindato, bisogna comprendere il meccanismo del Path Traversal. In parole semplici, si tratta di un inganno basato sulla navigazione delle cartelle del server. Normalmente, un software accetta un input dall'utente per leggere un file in una cartella specifica (ad esempio /documenti/file.txt). L'attaccante, invece, inserisce sequenze di caratteri come dot-dot-slash (../) per risalire l'albero delle directory e uscire dalla cartella prevista.

Nel caso della CVE-2026-106173, l'attaccante remoto non autenticato utilizza pacchetti predisposti che contengono queste sequenze di attraversamento e un carattere nullo nel parametro query-id. Questo permette di troncare il nome del file aggiunto automaticamente dal server e di sovrascrivere file arbitrari sul sistema. Una volta sovrascritto un file di configurazione o un eseguibile, l'hacker può ottenere l'esecuzione di comandi con privilegi elevati.

Questo metodo trasforma una funzione di query legittima in un'arma. Non è necessario conoscere la password di amministratore; basta che il server non controlli adeguatamente i metadati forniti dall'utente per permettere l'accesso a zone proibite del sistema operativo.

Quando il perimetro diventa trasparente

L'insieme degli alert pubblicati da ACN suggerisce un pattern preoccupante: l'erosione della fiducia nei dispositivi di perimetro. Non è solo Fortinet a essere sotto i riflettori. Stormshield ha dovuto rilasciare aggiornamenti per sanare tre vulnerabilità in Stormshield Network Security, di cui due classificate come alta gravità (CVE-2026-113469 e CVE-2026-111090). In questo caso, il problema è l'Authentication Bypass, ovvero la possibilità per un attaccante non autenticato di eludere i meccanismi di accesso.

Se uniamo questo dato alla vulnerabilità riscontrata in MongoDB (CVE-2026-112368), che colpisce la libreria PHP Driver e può causare un Denial of Service (DoS), emerge un quadro di fragilità sistemica. Il DoS non ruba dati, ma compromette la disponibilità del servizio, bloccando l'operatività aziendale.

Lettura critica: Per un imprenditore, l'implicazione è che la strategia del perimetro unico (il cosiddetto castello con il fossato) è obsoleta. Se il firewall stesso è vulnerabile, l'intera rete interna è esposta. La strategia deve evolvere verso lo Zero Trust, dove nessun dispositivo, nemmeno quello interno o il firewall stesso, è considerato sicuro a priori. L'indicatore di successo di questa transizione sarà la riduzione del tempo di rilevamento (MTTD) di un'intrusione, spostando l'attenzione dalla prevenzione assoluta alla resilienza rapida.

Lista delle versioni a rischio

L'Agenzia per la Cybersicurezza Nazionale ha dettagliato i prodotti e le versioni che richiedono l'intervento immediato. È fondamentale che i responsabili IT verifichino l'esatta versione in uso.

• FortiAnalyzer: versioni 7.6.x (fino alla 7.6.4), 7.4.x (fino alla 7.4.7), 7.2.x (tutte) e FortiAnalyzer Cloud (stesse versioni, per la 7.2.x fino alla 7.2.11).
• FortiManager: versioni 7.6.x (fino alla 7.6.4), 7.4.x (fino alla 7.4.6), 7.2.x (tutte) e FortiManager Cloud (versioni dalla 7.6.2 alla 7.6.4).
• FortiSIEM: versione 7.5.0.
• Stormshield Network Security: SNS 4.3.x (fino alla 4.3.44), 4.8.x (fino alla 4.8.19), 5.0.x (fino alla 5.0.9), 5.1.x (fino alla 5.1.3).
• MongoDB PHP Driver: 1.x (precedenti alla 1.21.12), 2.1.x (precedenti alla 2.1.12), 2.5.x (precedenti alla 2.5.5).

Patch management tra NIS2 e ACN

La gestione delle vulnerabilità non è più solo una questione tecnica, ma un obbligo di compliance. L'entrata in vigore della direttiva europea NIS2 impone standard molto più rigidi per la gestione del rischio informatico, specialmente per le entità essenziali e importanti. Ignorare un alert di ACN su una vulnerabilità con score 9.4 potrebbe essere interpretato come una grave negligenza nella gestione della sicurezza.

In Italia, l'Agenzia per la Cybersicurezza Nazionale funge da centro di coordinamento. Quando ACN pubblica un alert, sta fornendo l'intelligence necessaria per evitare incidenti sistemici. Per le imprese italiane, questo significa che il patch management deve diventare un processo automatizzato e documentato. Non basta aggiornare il software; occorre poter dimostrare che l'aggiornamento è stato effettuato tempestivamente dopo la segnalazione del vendor o dell'autorità nazionale.

L'impatto per il mercato locale è duplice. Da un lato, c'è una pressione crescente verso i fornitori di servizi gestiti (MSP) affinché garantiscano aggiornamenti proattivi. Dall'altro, le aziende devono integrare l'analisi delle CVE nei loro processi di risk management. La conformità a NIS2 richiederà l'implementazione di misure di sicurezza proporzionate al rischio, e la gestione delle vulnerabilità critiche nei prodotti di rete è l'elemento primario di questa catena.

L'indicatore verificabile per l'allineamento normativo sarà l'adozione di un registro delle vulnerabilità interno, aggiornato in tempo reale e correlato agli alert di ACN, che diventerà probabilmente un requisito fondamentale durante gli audit di conformità previsti per il 2026.

Domande frequenti

---

Fonti: Acn (3) ·

glacom · Intelligenza artificiale per aziende: i modelli girano sui tuoi server, i dati non escono →