home / blog
2026-05-12 · critica
FortiAuthenticator: controllo degli accessi improprio (CVE-2026-44277)
Controllo degli accessi improprio in FortiAuthenticator 8.0 e in versioni 6.x, con esecuzione di comandi non autorizzati, CVSS 9,8.
Il 12 maggio 2026 è stata pubblicata la scheda di CVE-2026-44277, un controllo degli accessi improprio in Fortinet FortiAuthenticator. Secondo NVD, richieste costruite ad arte permettono a un attaccante di eseguire comandi o codice non autorizzati. Il punteggio CVSS v3.1 è 9,8. Le versioni interessate includono la 8.0.0 e la 8.0.2, oltre alle serie 6.6.x e 6.5.x.
FortiAuthenticator gestisce identità e autenticazione per altri servizi. Un compromesso del server può quindi avere effetti a catena su applicazioni, VPN o accessi che lo usano come fonte di autenticazione.
Applicare la correzione indicata nell'avviso FG-IR-26-128, verificando la versione installata. Controllare i log di amministrazione e le modifiche agli account e alle configurazioni dal momento in cui il server è rimasto esposto.
In sintesi
- Cosa
- Controllo degli accessi improprio in FortiAuthenticator. Richieste costruite ad arte permettono l'esecuzione di codice o comandi non autorizzati.
- Gravità
- CVSS v3.1 9,8 (critica), secondo NVD.
- Versioni interessate
- FortiAuthenticator 8.0.0 e 8.0.2, e le versioni 6.6.x e 6.5.x elencate nell'avviso.
- Causa
- Controllo degli accessi improprio (CWE-284).
- Azione
- Applicare la correzione indicata nell'avviso FG-IR-26-128. FortiAuthenticator gestisce autenticazione: un compromesso può estendersi ai sistemi che dipendono da esso.