Scoperta una falla in FortiSIEM: scrittura file arbitrarie da phQueryMaster
Testo scritto con l’intelligenza artificiale a partire da una fonte citata, senza revisione umana prima della pubblicazione.
La CVE-2026-106173 colpisce FortiSIEM 7.5.0, Fortinet ha pubblicato FG-IR-26-180 e la 7.5.1 risolve il problema.
Fortinet ha pubblicato l’avviso FG-IR-26-180 il 13 ottobre 2026: la versione 7.5.0 di FortiSIEM contiene la vulnerabilità CVE-2026-106173, corretta nella 7.5.11.
Il difetto sta nel servizio phQueryMaster. Il processo ascolta sulla porta TCP 27918 ed espone un’interfaccia gRPC. Riceve risultati di query da altri componenti e costruisce un percorso di file a partire da un identificatore fornito dal chiamante. La validazione non basta1.
Due punti deboli si sommano. Sequenze di path traversal nell’identificatore spostano la scrittura fuori dalla directory dei risultati prevista. Il servizio aggiunge anche testo proprio in coda al nome generato. Questo comportamento, che dovrebbe limitare il percorso, non impedisce l’uscita quando l’identificatore contiene traversal1.
Il risultato è concreto: un componente può indurre phQueryMaster a scrivere file al di fuori dell’area attesa. L’operazione parte da un input controllato e raggiunge il filesystem del server SIEM. L’errore di composizione del percorso rende la superficie di attacco del SIEM parte del problema, non dello strumento di rilevazione1.
Il contesto aggrava l’impatto. I SIEM custodiscono credenziali dei sistemi che monitorano. Operano nella rete di gestione. Devono notare compromissioni altrui. Se la piattaforma consente scritture non previste sul proprio disco, la posizione privilegiata diventa un vettore di compromissione. La vulnerabilità mette in discussione il presupposto di affidabilità del nodo di monitoraggio1.
Le versioni interessate e le correzioni sono precise. FortiSIEM 7.5.0 è vulnerabile. La 7.5.1 risolve il problema. FortiSIEM 7.6 e FortiSIEM Cloud non sono interessati1.
La cronologia è definita. Fortinet ha pubblicato l’avviso il 13 ottobre 2026. Horizon3.ai ha diffuso il 20 ottobre un’analisi tecnica con una proof of concept1.
Il meccanismo descritto tocca un pattern noto: composizione di percorsi a partire da input non fidati. L’interfaccia gRPC di phQueryMaster accetta un identificatore di query e lo usa per formare il nome del file di output. Senza normalizzazione rigorosa del percorso, le sequenze di attraversamento di directory portano la scrittura oltre il perimetro atteso. L’aggiunta di testo in coda al nome non basta a neutralizzare l’uscita, come descritto nell’analisi1.
La nota e l’analisi pubbliche offrono un quadro essenziale: la versione vulnerabile, la versione corretta, le varianti non interessate, il servizio esposto, la porta, l’API, e il flusso che porta alla scrittura fuori percorso1. Chi gestisce l’ambiente può verificare la release in uso e, dove presente la 7.5.0, passare alla 7.5.11.
Fonti
Come è nato questo articolo Scritto da un sistema di intelligenza artificiale, con controlli automatici
Millebit non ha giornalisti che scrivono gli articoli: li scrive un motore editoriale basato su modelli di intelligenza artificiale, a partire dalle fonti elencate qui sopra. Prima di uscire, ogni testo passa questi controlli:
- Fedeltà alle fonti. Un secondo passaggio toglie ogni affermazione che le fonti non sostengono. Valutazione su questo pezzo: 10/10.
- Anti-cliché. Un filtro scarta frasi fatte, enfasi e tic della prosa artificiale: superato.
- Giudizio editoriale. Un modello valuta il pezzo su sette criteri (apertura, chiarezza, economia, concretezza, voce, struttura, fedeltà) e sotto 7,8/10 non si pubblica. Questo articolo ha preso 8,2/10.
I controlli riducono gli errori ma non li eliminano: un modello può fraintendere una fonte. Per le decisioni importanti, risali alla fonte originale. Se trovi un errore, segnalacelo.
Per vedere Millebit nelle notizie principali di Google, aggiungilo alle tue fonti preferite. Oppure segui l’edizione di oggi, il feed RSS o La Sintesi.