Il 27 luglio 2026 CISA ha aggiunto due vulnerabilità al catalogo Known Exploited Vulnerabilities: CVE-2026-16812, command injection in Arista VeloCloud Orchestrator On-Prem, scadenza 30 luglio, e CVE-2025-68686, esposizione di informazioni in Fortinet FortiOS, scadenza 10 agosto. In entrambe le voci l’uso in campagne ransomware risulta Unknown. Quel campo descrive le prove che CISA possiede oggi, non il rischio: una falla consegna a un attaccante remoto il piano di gestione SD-WAN, l’altra aggira la correzione di un meccanismo di persistenza su firewall.
Due nuove voci nel catalogo CISA. Due scadenze a undici giorni di distanza. E nella colonna ransomware di entrambe la stessa parola: Unknown.
Il 27 luglio 2026 CISA ha aggiunto due vulnerabilità al catalogo Known Exploited Vulnerabilities, l’elenco delle falle di cui ha confermato lo sfruttamento reale. La prima, CVE-2026-16812, è una command injection a livello di sistema operativo in Arista VeloCloud Orchestrator On-Prem, la console self-hosted con cui si gestiscono le reti SD-WAN. CISA ha dato alle agenzie federali civili statunitensi tempo fino al 30 luglio per rimediare: tre giorni. La seconda, CVE-2025-68686, è un’esposizione di informazioni sensibili in Fortinet FortiOS, con scadenza al 10 agosto. Nessuna delle due è collegata a una campagna ransomware: il campo knownRansomwareCampaignUse riporta Unknown in entrambi i casi. È proprio quella parola a rendere la coppia interessante, perché viene regolarmente scambiata per un indice di rischio.
Un apparato aggiornato non è un apparato bonificato
La voce FortiOS non riguarda l’ingresso. CISA la descrive come l’aggiramento della patch sviluppata per il meccanismo di persistenza tramite collegamenti simbolici osservato in alcuni casi post-exploit, raggiungibile con richieste HTTP costruite ad arte, e precisa che l’attaccante deve avere già compromesso il prodotto tramite un’altra vulnerabilità, a livello di filesystem. È una falla che riguarda il restare dentro.
Che cosa ha pubblicato CISA
I dati che seguono provengono dalle voci del catalogo KEV datate 27 luglio 2026 e dagli avvisi dei produttori che quelle voci citano.
- CVE-2026-16812 riguarda Arista VeloCloud Orchestrator On-Prem. CISA descrive una command injection che può consentire a un attaccante remoto di accedere a funzionalità interne privilegiate e di incidere sull’host VCO, compromettendo riservatezza, integrità e disponibilità dell’orchestratore e dei dati che gestisce.
- CVE-2025-68686 riguarda Fortinet FortiOS. CISA descrive un’esposizione di informazioni sensibili a un soggetto non autorizzato che aggira la patch sviluppata per il meccanismo di persistenza tramite collegamenti simbolici, con richieste HTTP costruite ad arte.
- Entrambe sono state aggiunte il 27 luglio 2026, nella versione 2026.07.27 del catalogo, che conta in totale 1.655 voci.
- L’azione richiesta per entrambe è collegata alla Binding Operational Directive 26-04 sulla prioritizzazione degli aggiornamenti in base al rischio, con scadenze rispettivamente al 30 luglio e al 10 agosto 2026.
- Il catalogo registra knownRansomwareCampaignUse come Unknown per entrambe le voci.
Le due voci in numeri
Date, nomi dei prodotti, descrizioni e scadenze provengono direttamente dalle voci del catalogo Known Exploited Vulnerabilities del 27 luglio 2026. Il punteggio CVSS di 10.0 e i numeri di build corretti provengono invece dalle cronache pubblicate il 27 e il 28 luglio da BleepingComputer, The Hacker News e The Register, non dal catalogo, e sono riportati qui come tali.
Che cosa aggiungono le cronache alla voce di catalogo
Arista ha corretto una vulnerabilità di command injection di gravità massima nelle installazioni on-premise di VeloCloud Orchestrator, già sfruttata attivamente in attacchi.
Come si è svolta la settimana
La sequenza che segue è breve, ed è esattamente questo il punto. Tre giorni separano una correzione pubblica da una scadenza federale. Letto insieme a come si sviluppa un attacco ransomware, quell’intervallo è la parte che i difensori controllano davvero.
Le due voci a confronto
Due falle, due orologi molto diversi
Voci del catalogo CISA KEV del 27 luglio 2026. Punteggio CVSS come riportato da BleepingComputer, The Hacker News e The Register.
Quello che le voci dicono, e quello che ci mette chi legge
Ogni riga mette a confronto un’ipotesi che sentiamo durante le analisi di esposizione con quello che le due voci di catalogo affermano davvero.
| Ipotesi diffusa | Quello che dicono le voci KEV | Perché conta per la preparazione |
|---|---|---|
| Uso ransomware Unknown significa priorità bassa | Unknown significa che oggi CISA non ha campagne ransomware confermate collegate alla falla | Registra le prove attuali e viene aggiornato quando arrivano prove nuove. Non è un punteggio né una previsione |
| L’orchestratore è uno strumento interno | La falla può consentire a un attaccante remoto di raggiungere funzionalità interne privilegiate e incidere sull’host VCO | La console che governa una rete SD-WAN è accesso esteso a tutta la rete, la posizione da cui partono le operazioni di estorsione |
| Applicare l’aggiornamento chiude il caso | La voce FortiOS descrive l’aggiramento della correzione di un meccanismo di persistenza osservato dopo lo sfruttamento | Un apparato può risultare aggiornato e ospitare comunque il punto d’appoggio di un attaccante |
Che cosa va storto quando Unknown viene letto come sicuro
Le modalità di fallimento qui sotto sono quelle che emergono a posteriori, negli ambienti in cui una voce di catalogo è stata valutata sul campo sbagliato.
- â›” Leggere Unknown nella colonna ransomware come non rilevante, e declassare una falla di cui CISA ha già confermato lo sfruttamento.
- â›” Correggere VeloCloud Orchestrator lasciando però la sua interfaccia web raggiungibile da internet, così la prossima falla nello stesso componente sarà sfruttabile il giorno stesso della pubblicazione.
- â›” Trattare una scadenza federale di tre giorni come una formalità del settore pubblico invece che come il segnale, dato da CISA, della velocità con cui la falla viene usata.
- â›” Applicare l’aggiornamento FortiOS senza cercare la persistenza a livello di filesystem che quella correzione esiste per neutralizzare, lasciando un apparato aggiornato al servizio dell’attaccante.
- â›” Non avere un inventario di quali installazioni di VeloCloud Orchestrator siano self-hosted, così nessuno può dire se le build corrette siano davvero installate.
Lo schema dietro le voci sugli apparati di frontiera
CISA collega l’azione richiesta per entrambe le falle alla Binding Operational Directive 26-04, il cui scopo dichiarato è dare priorità agli aggiornamenti in base al rischio. Direttive di questo tipo esistono perché l’intervallo tra la correzione pubblica di un apparato raggiungibile da internet e il suo uso nelle intrusioni si è accorciato al punto da rendere inefficaci i normali cicli di patching. Nessuna delle due voci nomina un attore o una campagna, e questo articolo non lo fa. Quello che entrambe affermano è che lo sfruttamento è già confermato.
Che cosa fare questa settimana
Ogni punto rimanda a qualcosa affermato nelle due voci di catalogo o negli avvisi che citano. Nulla dipende dal sapere chi stia sfruttando le falle, ed è esattamente per questo che vale anche come lavoro di base per prevenire un attacco ransomware.
- ✅ Inventariare ogni istanza self-hosted di VeloCloud Orchestrator e verificare che giri una build corretta. Le cronache indicano come versioni corrette la 5.2.3.14, la 6.1.3.4 e la 6.4.2.4 e successive, e precisano che le installazioni hosted e dedicated erano già state aggiornate prima dell’avviso.
- ✅ Togliere l’interfaccia web di VCO da internet, dietro una VPN o una lista di indirizzi autorizzati. Le cronache riferiscono che alla falla basta l’accesso di rete a quell’interfaccia, senza credenziali di tenant né di operatore.
- ✅ Applicare la correzione Fortinet citata dalla voce di catalogo, FG-IR-25-934, su ogni apparato interessato, e poi verificare lo stato del filesystem, non solo il numero di versione.
- ✅ Usare le scadenze KEV come livelli di servizio interni: 30 luglio 2026 per CVE-2026-16812 e 10 agosto 2026 per CVE-2025-68686, indipendentemente dal fatto che la direttiva vi si applichi.
- ✅ Conservare i log dell’orchestratore e dei firewall prima di ricostruire qualsiasi cosa. Se una compromissione viene confermata più tardi, sono l’unica traccia di ciò che l’attaccante poteva raggiungere.
- ✅ Ricontrollare entrambe le voci dopo la remediation. Il campo sulle campagne ransomware viene aggiornato quando CISA ottiene prove, quindi l’Unknown di oggi non è una risposta definitiva.
L’esposizione è la variabile che controllate
Nessuna delle due voci nomina un operatore ransomware, e forse non lo farà mai. Entrambe descrivono però condizioni che rendono un’intrusione meno costosa: una console di gestione raggiungibile da internet e un meccanismo di persistenza la cui correzione può essere aggirata. Chiudere quell’esposizione è lavoro ordinario con una scadenza pubblicata, e costa una frazione rispetto al recuperare i file crittografati dopo che lo stesso accesso è stato usato per qualcosa di peggio.
Fonti
- CISA, Known Exploited Vulnerabilities Catalog, voci aggiunte il 27 luglio 2026
- CISA, CISA Adds Two Known Exploited Vulnerabilities to Catalog, 27 luglio 2026
- Arista, Security Advisory 0144, VeloCloud Orchestrator On-Prem
- Fortinet PSIRT, FG-IR-25-934
- BleepingComputer, Arista patches VeloCloud Orchestrator zero-day exploited in attacks
- The Hacker News, Attackers Exploit Arista VeloCloud Orchestrator Command Injection Flaw
Juan Ricardo Palacio
Co-fondatore e CEO per le Americhe, HelpRansomware
Juan Ricardo Palacio è ingegnere elettronico, imprenditore e specialista in telecomunicazioni, cybersecurity e digital forensics, con oltre 25 anni di esperienza professionale. Co-fondatore di HelpRansomware, opera nei campi della cyber resilience, della risposta agli attacchi ransomware, del recupero dati, della crittografia e del reverse engineering, supportando aziende e organizzazioni nella gestione di incidenti informatici ad alta criticità.
📰 Menzionato e citato su Forbes Georgia, Business Insider Africa, LA Weekly e Il Sole 24 Ore.
📅 Ultimo aggiornamento: 28 luglio 2026
