---

📋 Panoramica

CVE-2026-21643 è una vulnerabilità di iniezione SQL di livello critico (CWE-89) che interessa esclusivamente la versione 7.4.4 di Fortinet FortiClient Endpoint Management Server (FortiClientEMS).

Un attaccante remoto non autenticato può inviare richieste HTTP appositamente predisposte all'interfaccia di amministrazione web (GUI) ed eseguire comandi SQL non autorizzati. Ciò può portare alla compromissione completa del sistema, inclusa l'esecuzione di codice arbitrario sul server.

Rischio chiave: la vulnerabilità è pre-autenticazione, rendendo ogni istanza FortiClientEMS esposta a internet o raggiungibile un bersaglio di alto valore.

---

🔍 Dettagli tecnici

• ID CVE: CVE-2026-21643
• IR Fortinet: FG-IR-25-1142
• Severità: Critica
• Punteggio CVSS v3.1: 9.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
• Tipo di vulnerabilità: Neutralizzazione impropria di elementi speciali usati in un comando SQL (SQL Injection)
• Componente interessato: Interfaccia di amministrazione web (GUI)
• Vettore di attacco: Remoto, tramite richieste HTTP appositamente predisposte (apparentemente che coinvolgono l'header Site in configurazioni multi-tenant ed endpoint come /api/v1/init_consts)
• Autenticazione richiesta: Nessuna
• Interazione dell'utente: Nessuna
• Sfruttamento pubblico noto: No (al marzo 2026)
• Scoperta da: Internamente da Fortinet (Gwendal Guégniaud, team Product Security)

---

📊 Versioni interessate

---

✅ Rimedio

Azione urgente raccomandata:

1. Aggiornare immediatamente a FortiClientEMS 7.4.5 o a qualsiasi versione successiva (incluso il ramo 8.0).
2. Limitare l'accesso alla GUI di amministrazione:
   • Posizionarla dietro una VPN, un firewall o una soluzione zero-trust.
   • Evitare di esporre l'interfaccia web EMS direttamente su internet.
3. Monitorare i log per richieste sospette agli endpoint di amministrazione (ad es. che coinvolgono l'header Site o pattern SQLi basati su errori).
4. Applicare le firme IPS FortiGuard se disponibili per una protezione aggiuntiva.

Avviso ufficiale Fortinet:
https://fortiguard.fortinet.com/psirt/FG-IR-25-1142

---

🛡️ Mitigazione e buone pratiche

• Priorità della patch: Alta — trattare come emergenza a causa della natura pre-autenticazione.
• Se la patch non può essere applicata immediatamente, bloccare l'accesso esterno all'interfaccia di gestione EMS.
• Rivedere le configurazioni multi-tenant (più esposte a causa della gestione dell'header Site).
• Abilitare la registrazione dettagliata e monitorare eventuali perdite di errori del database.
• Scansionare regolarmente l'ambiente per istanze FortiClientEMS esposte.

Nota: La falla è stata introdotta durante una refactoring del middleware in 7.4.4 relativa al supporto multi-tenancy ed è stata corretta silenziosamente nella 7.4.5.

---

📚 Riferimenti e approfondimenti

• NVD - CVE-2026-21643
• Avviso Fortinet PSIRT FG-IR-25-1142
• Analisi di Arctic Wolf
• Copertura di The Hacker News
• Qualys ThreatPROTECT
• Database vulnerabilità SentinelOne

---

📌 Dichiarazione di non responsabilità

Questo repository è mantenuto esclusivamente per scopi di sicurezza difensiva, sensibilizzazione e informazione. Fare sempre riferimento all'avviso ufficiale Fortinet per le indicazioni più accurate e aggiornate.

Qui non sono inclusi exploit pubblici.

---

⭐ Metti una stella a questo repo se ti ha aiutato a restare al sicuro!
🛠️ Contributi, correzioni o IOC aggiuntivi sono benvenuti tramite Pull Requests.

Ultimo aggiornamento: marzo 2026