Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 16 Dicembre 2025 06:49
Gli autori delle minacce hanno iniziato a sfruttare attivamente le vulnerabilità di alta gravità, poco dopo che il fornitore le aveva rese pubbliche, al fine di aggirare l’autenticazione su dispositivi FortiGate.
Un recente rapporto di Arctic Wolf rivela che, dal 12 dicembre 2025, queste vulnerabilità vengono sfruttate dagli aggressori per ottenere l’accesso come amministratori attraverso il Single Sign-On (SSO) e rubare configurazioni di sistema sensibili.
Le vulnerabilità CVE-2025-59718 e CVE-2025-59719, con un punteggio CVSS critico di 9,1, sono nel mirino degli attacchi. Di fatto, senza chiave, un aggressore non autenticato può entrare dalla porta principale sfruttando tali falle, che permettono di eludere le protezioni di accesso SSO grazie a messaggi SAML falsificati.
 Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀
Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮.
Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
I ricercatori di Arctic Wolf hanno evidenziato: “Tuttavia, quando gli amministratori registrano i dispositivi utilizzando FortiCare tramite la GUI, FortiCloud SSO viene abilitato al momento della registrazione, a meno che l’impostazione ‘Consenti accesso amministrativo tramite FortiCloud SSO’ non sia disabilitata nella pagina di registrazione”.
I tentativi di intrusione osservati da Arctic Wolf seguono uno schema ben preciso. Gli aggressori provengono da provider di hosting specifici, tra cui The Constant Company LLC, Bl Networks e Kaopu Cloud Hk Limited, e prendono di mira direttamente l’account amministratore.
| IOC | Hosting Provider |
| 45.32.153[.]218 | The Constant Company llc |
| 167.179.76[.]111 | The Constant Company llc |
| 199.247.7[.]82 | The Constant Company llc |
| 45.61.136[.]7 | Bl Networks |
| 38.54.88[.]203 | Kaopu Cloud Hk Limited |
| 38.54.95[.]226 | Kaopu Cloud Hk Limited |
| 38.60.212[.]97 | Kaopu Cloud Hk Limited |
Una volta all’interno, gli aggressori si sono subito dedicati al furto di dati. “In seguito ad accessi SSO dannosi, le configurazioni venivano esportate agli stessi indirizzi IP tramite l’interfaccia utente grafica”. Questa esfiltrazione è catastrofica perché le configurazioni del firewall contengono spesso credenziali hash per gli utenti VPN e altri account locali.
Si consiglia agli amministratori di effettuare immediatamente l’aggiornamento alle ultime versioni corrette (ad esempio, FortiOS 7.6.4, 7.4.9, 7.2.12 o 7.0.18). Per coloro che non possono applicare immediatamente la patch, esiste una soluzione alternativa fondamentale. È possibile disabilitare la funzionalità vulnerabile tramite l’interfaccia a riga di comando (CLI):
Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
RedazioneShannon opera come un penetration tester che non si limita a segnalare vulnerabilità, ma lancia veri e propri exploit. L’intento di Shannon è quello di violare la sicurezza della tua applicazione ...
Salve ragazzi,mi chiamo Giorgio, ho 58 anni, lavoro da sempre come tecnico amministrativo e, nella vita, sono sempre stato quello “razionale” della famiglia. Quello che controlla i conti, che non ...
I servizi di Windows dedicati alle connessioni remote hanno da sempre rappresentato una fonte inesauribile di “soddisfazioni” per chi si occupa di sicurezza informatica, rivelando vulnerabilità d...
La scena è sempre quella: monitor accesi, dashboard piene di alert, log che scorrono troppo in fretta, un cliente in ansia dall’altra parte della call. Ti siedi, ti guardi intorno e ti rendi conto ...
Un noto broker di accesso iniziale (IAB) denominato “Storm-0249“, ha modificato le proprie strategie operative, utilizzando campagne di phishing ma anche attacchi altamente mirati, i quali sfrutta...
