Allerta CISA KEV: tre falle zero-day su Cisco, Citrix e Fortinet mettono a rischio firewall e VPN esposti

La CISA ha aggiornato il catalogo Known Exploited Vulnerabilities (KEV) inserendo tre vulnerabilità sfruttate attivamente che colpiscono prodotti Cisco, Citrix e Fortinet. Per le agenzie federali statunitensi del ramo esecutivo civile la scadenza di patch è fissata al 12 settembre 2026, ma il messaggio è valido per qualsiasi organizzazione che utilizzi dispositivi di perimetro esposti su Internet.

1) Cisco Secure Firewall Management Center (FMC) – CVE-2026-20079 (CVSS 10)

La prima falla è CVE-2026-20079 con punteggio CVSS 10 e riguarda Cisco Secure Firewall Management Center (FMC). Si tratta di un bypass di autenticazione nell’interfaccia web che può consentire a un attaccante remoto non autenticato di aggirare i controlli e arrivare fino a ottenere accesso root al sistema operativo sottostante. Sono stati osservati cluster di attività post-compromissione con distribuzione di web shell e malware, un segnale tipico di campagne mirate a mantenere persistenza e a muoversi lateralmente nella rete.

2) Citrix NetScaler ADC / NetScaler Gateway – CVE-2026-19490 (CVSS 9.3)

La seconda vulnerabilità è CVE-2026-19490 con CVSS 9.3 e impatta Citrix NetScaler ADC e NetScaler Gateway in specifiche configurazioni come AAA virtual server o gateway per SSL VPN, ICA Proxy, CVPN o RDP Proxy. Sono state rilevate numerose prove di sfruttamento contro sistemi esca con un picco di tentativi in pochi giorni, un indicatore che spesso precede ondate di scansione e compromissione su larga scala.

3) FortiOS / FortiSwitchManager / FortiSASE – CVE-2025-25249 (CVSS 7.3)

La terza voce aggiunta al KEV è CVE-2025-25249 con CVSS 7.3 che interessa FortiOS, FortiSwitchManager e FortiSASE. La vulnerabilità è un heap-based buffer overflow che può permettere esecuzione di codice o comandi da remoto senza autenticazione tramite richieste costruite ad hoc. Una campagna recente avrebbe usato questa falla per distribuire un trojan di accesso remoto basato su Node.js chiamato PivotC2 con funzionalità di shell interattiva, tunneling, scansione di rete, raccolta configurazioni e furto di credenziali. Le infezioni osservate coinvolgerebbero centinaia di dispositivi e migliaia di indirizzi IP presi di mira, con concentrazione negli Stati Uniti e motivazioni economiche.

Questi casi confermano che i dispositivi edge come firewall, gateway e appliance VPN sono bersagli prioritari per ottenere accesso iniziale. La riduzione del rischio passa da patch rapide, limitazione dell’accesso da Internet, monitoraggio degli indicatori di compromissione, rotazione credenziali e verifica della telemetria disponibile sui sistemi esposti.