Der Umfang ist unauffällig: FortiClient EMS stellt die Management-Konsole als Intrusionsvektor frei

Ein neuer Angriff auf Endpoints-Management-Infrastruktur unterstreicht ein Grundprinzip der Sicherheit: Wenn das zu schützende Werkzeug beeinträchtigt wird, wird der Umfang verwundet. Im Mai 2026 wurde eine Kampagne beobachtet, die in FortiClient EMS, identifiziert als CVE-2026-35616, die Vorteile einer kritischen Sicherheitslücke nutzte, um einen Anmelde-Dieb zu verbreiten, der ein legitimes Kunden-Update verkörperte. Was es besonders gefährlich macht, ist nicht nur die Schwere des Scheiterns, sondern der gewählte Vektor: der sehr Management-Pfad, den Manager verwenden, um Richtlinien und Updates zu implementieren.

Die Operation, nach der von Forschern veröffentlichten Analyse, erlaubt, die Authentifizierung der API zu vermeiden und ausreichende Privilegien zu erhalten, EMS-Konfigurationen zu ändern, böswillige Skripte einzufügen und Remote-Befehle auf allen verwalteten Endpunkten auszuführen, ohne dass jedes Gerät separat beeinträchtigt werden muss. Unter den Anzeichen von Angriff identifiziert sind die Anwesenheit der camouflaged ausführbar genannt FortiEndpoint _ Patch.exe, Verwendung fürtitra.exe.cmd-Skripte und den Aufruf von PowerShell mit codierten Nutzlasten in Base64 zu veröffentlichen, die Informationen herunterladen und ausfiltern, die für eine vom Angreifer kontrollierte Infrastruktur empfindlich sind.

Das praktische Risiko ist hoch: Die Looter von Chromium und Gecko-basierten Browsern können Session-Cookies und gespeicherte Anmeldeinformationen erfassen, die es Ihnen ermöglichen, Sitzungen wiederzuverwenden, um auf Cloud-, interne und Drittanbieter-Dienste zuzugreifen, auch in MFA-basierten Umgebungen, wenn Session-Reuse erlaubt. Darüber hinaus können Angreifer durch die Nutzung legitimer Kontrollen der Verwaltungsplattform die Tätigkeit innerhalb offensichtlich gültiger administrativer Operationen verbergen, wodurch die Erkennung durch traditionelle Prozesse erschwert wird.

Die operativen Auswirkungen sind klar: Erstens: sofort aktualisieren FortiClient EMS auf die korrigierte Version (7.4.7 oder höher), da der Hersteller Patches veröffentlicht hat, die die API-Authentifizierung Bypass schließen. Fortinet hält Sicherheitsinformationen und Hinweise auf seinem offiziellen Portal aufrecht, das die Hauptquelle für Patches und Minderungen ist: https: / / www.fortinet.com / support / product-security. Parallel ist es wichtig, Antwortprozesse zu aktivieren, die die Rotation von Anmeldeinformationen, Sitzungsinvalidierung und Überarbeitung von eventuell erfassten Token und Cookies beinhalten.

Aus Sicht der Erkennung und Eindämmung ist es angezeigt, spezifische Indikatoren zu suchen: Änderungen in Fernzugriffsprofilen und Endpunktrichtlinien in EMS, Anwesenheit von FortiEndpoint _ Patch.exe in Verzeichnissen wie ProgramData, Cmd.exe von fortitra.exe und Power aufgerufen Shell-Befehle mit Parametern - EncodedCommand oder Anrufe an Invoke-Expression, um Binaries herunterzuladen. Die Überwachung der HTTP-POST-Ausgänge auf verdächtige Richtungen und die Sperrung der Kommunikation auf bekannte schädliche Infrastrukturen ist eine weitere sofortige Aktion, die die laufende Exfiltration mildern kann.

Es reicht nicht aus, den Verkehr zu blockieren: das Management muss angezogen werden. Isolieren Sie das Netzwerk und den administrativen Zugang von EMS, zwingen MFA für Konten, die die Konsole verwalten, den API-Zugriff durch weiße Liste von IPS einschränken und eine detaillierte Änderungsregistrierung ermöglichen, sind Maßnahmen zur Minderung der Auswirkungen einer ähnlichen Verletzung in der Zukunft. Es wird auch empfohlen, Mindestprivileg-Prinzipien in EMS-Konten anzuwenden und die Management-Konsole zu segmentieren, so dass ein engagierter Zugriff nicht die volle Kontrolle über alle Endpunkte gibt.

Die Kampagne dient auch als Mahnung, die Leistungsposition von PowerShell und Skripten in Endpunkten zu überprüfen: eingeschränkte Ausführungsrichtlinien implementieren, Implementierungsblock von codierten Befehlen aktivieren, wo möglich und nutzen native anomale Verhaltenserkennungsfunktionen in PowerShell. Microsoft bietet Anleitungen und Best Practices auf PowerShell-Sicherheit, die helfen können, diese Oberflächen zu härten: https: / / learn.microsoft.com / powerhell / Scripting / Überblick.

Zu den empfohlenen Aktionen gehören die forensische Sammlung des EMS zur Wiederherstellung von Konfigurationsänderungen, die Management-Log-Bewertung, die Suche nach verwalteten Endpunkten und die Koordination mit dem Lieferanten zur Validierung der Integrität der Umwelt. Benachrichtigen Sie die betroffenen Parteien, bewerten Sie den Umfang des Zugangs zu sensiblen Konten und wenden Sie sich gegebenenfalls an die Behörden und externen Spezialisten in Reaktion auf Vorfälle sind vorsichtige Schritte zur Bewältigung der Exposition.

Schließlich bekräftigt dieser Vorfall eine strategische Lektion: Das Vertrauen der Kette von Management-Tools ohne kompensatorische Kontrollen ist ein systemisches Risiko. Organisationen sollten Management-Konsolen als kritische Vermögenswerte behandeln und sie mit strengen Kontrollen, kontinuierlichen Audits und spezifischen Reaktionsplänen schützen. Technische Vorbeugung (Patching und Segmentierung), Angriff geräteorientierte Erkennung und bewährte Antwortverfahren sind die notwendige Kombination, um nicht nur diese besondere Bedrohung zu mindern, sondern die Art von Angriffen, die das Vertrauen der Verwaltung ausnutzen.