home / blog
2026-10-13 · critica
FortiSIEM: path traversal con esecuzione di comandi (CVE-2026-106173)
Path traversal in FortiSIEM 7.5.0 con possibile esecuzione di comandi non autorizzati, CVSS 9,8. Applicare la correzione Fortinet.
Il 13 ottobre 2026 è stata pubblicata la scheda di CVE-2026-106173, un path traversal in Fortinet FortiSIEM 7.5.0. Secondo NVD, pacchetti costruiti ad arte possono consentire a un attaccante remoto non autenticato di eseguire comandi o codice non autorizzati. Il punteggio CVSS v3.1 è 9,8.
Il difetto nasce dalla mancata limitazione del percorso a una directory ristretta (CWE-22). FortiSIEM raccoglie log da molti dispositivi, quindi un'istanza esposta può essere un punto di ingresso verso la rete di monitoraggio.
Applicare la correzione indicata nell'avviso Fortinet FG-IR-26-180, verificando la versione installata. Nel frattempo, restringere l'accesso alle interfacce di FortiSIEM e controllare i log per richieste insolite ai percorsi di gestione.
In sintesi
- Cosa
- Path traversal in FortiSIEM 7.5.0. Pacchetti costruiti ad arte possono portare all'esecuzione di comandi o codice non autorizzati.
- Gravità
- CVSS v3.1 9,8 (critica), secondo NVD. Nessun punteggio CVSS v4.0 nel record.
- Causa
- Limitazione impropria del percorso a una directory ristretta (CWE-22).
- Correzione
- Versioni corrette indicate nell'avviso Fortinet FG-IR-26-180. Non le ripeto qui: vanno confrontate con la propria versione sul bollettino.
- Azione
- Applicare la correzione e limitare l'accesso alle interfacce di FortiSIEM da reti non fidate.