CVE-2025-10035: deserializzazione critica in Fortra GoAnywhere MFT

La vulnerabilità CVE-2025-10035 è una falla di deserializzazione nel License Servlet del software Fortra GoAnywhere MFT. Un attaccante in possesso di una firma di licenza validamente falsificata può forzare la deserializzazione di un oggetto arbitrario controllato, potenzialmente portando a command injection. Colpisce gli ambienti che utilizzano il servizio di managed file transfer Fortra.

Il CVSS è fissato a 10,0, il punteggio massimo, con gravità dichiarata critical. La vulnerabilità è stata pubblicata da NVD il 2025-09-18. A 2026-10-30, segnali su piattaforme social indicano continuato interesse e attività intorno a questa falla, anche se le fonti non sono verificate ufficialmente.

Amministratori e team IT devono verificare immediatamente se GoAnywhere MFT è presente in infrastruttura e quale versione è in uso. Consultare gli advisory di Fortra per identificare la patch applicabile. Applicare aggiornamenti non appena disponibili. Monitorare i log dei sistemi interessati per attività anomala di deserializzazione o esecuzione di comandi inattesi.

L'assenza di segnali pubblici su repository GitHub non esclude l'esistenza di exploit privati. Data la gravità massima (CVSS 10,0), assume che lo sfruttamento sia potenzialmente diffuso. Educa i team sulla differenza tra una falla conosciuta e segnali pubblici: il silenzio su GitHub non significa sicurezza.