Kritische Warnung: CVE-2026-35616 in FortiClient EMS ermöglicht es, die Authentifizierung zu umgehen und mehr als 2.000 Server auszusetzen

Die Bedrohung kam schnell und dringend: eine kritische Sicherheitslücke in FortiClient Enterprise Management Server (EMS), identifiziert als CVE-2026-35616 Es hat die US-Behörden dazu gezwungen, unverzüglich Maßnahmen zu ergreifen und Alarme bei Sicherheitsteams auf der ganzen Welt einzuleiten. Dies ist ein Misserfolg, der es den Forschern, die es entdeckt haben, ermöglicht, die Authentifizierungs- und Berechtigungssteuerungen durch speziell gestaltete Anfragen vollständig zu vermeiden, was die Tür zur Ausführung von Befehlen oder Codes ohne die Notwendigkeit von Anmeldeinformationen öffnet.

Fortinet reagierte durch die Freigabe von Notkorrekturen über das Wochenende und warnte, dass Verwundbarkeit das Ergebnis einer schlechten Konfiguration in der Zugriffskontrolle seiner API ist. Das Unternehmen warnte auch, dass böswillige Akteure bereits den Ausfall bei aktiven Angriffen nutzten, und empfahl die Installation der Hotfixes für die betroffenen Versionen - Filialen 7.4.5 und 7.4.6 - oder die Aktualisierung auf Version 7.4.7, wenn es veröffentlicht wird.

Die Schwere des Problems führte zu Cybersecurity and Infrastructure Security Agency (CISA) Verwundbarkeit in seine Ein Katalog bekannter und ausgenutzter Schwachstellen (KEV) und einen verbindlichen Auftrag für Bundesagenturen zu erteilen, die fordern, dass alle FortiClient EMS-Einrichtungen vor der unter der Bindung Betriebsrichtlinie 22-01. Obwohl diese Richtlinie formal für die US-Bundesregierungsorganisationen gilt, forderte die CISA alle öffentlichen und privaten Organisationen auf, die Korrektur des Urteils zu priorisieren.

Der Kontext macht das Szenario noch beunruhigender: Die Shadowserver-Überwachungsgruppe unterhält einen öffentlichen Zähler von FortiClient EMS-Instanzen, die aus dem Internet zugänglich sind und je nach Panel nahe an der 2.000 freiliegende EMS-Server mit mehr als 1.400 IP-Adressen in den USA und Europa. Dieses Ausmaß der öffentlichen Exposition erhöht das Risiko von massiven Verpflichtungen, und das komplizierte ist, dass es keine zuverlässige öffentliche Messung darüber gibt, wie viele dieser Fälle den Patch bereits angewandt haben.

Warum ist ein Misserfolg in EMS besonders zart? Ein Endpoints-Management-Server zentralisiert Richtlinien, Bereitstellungen und Kontrollen für FortiClient-Kunden, die in einem Netzwerk eingesetzt werden. Kompromisse bedeutet, Malware durch die Management-Infrastruktur schwenken, bereitstellen oder Sicherheitskontrollen auf mehreren Teams gleichzeitig deaktivieren zu können. Mit anderen Worten, es ist ein hochwertiges Ziel für Spionage- und Ransomware-Angriffe.

Fortinet hat seine Kunden gebeten, die Hotfixes für die betroffenen Versionen so schnell wie möglich zu installieren und, wenn die stabile und korrigierte Version (7.4.7) zur Verfügung steht, es als Endroute anzunehmen. Die CISA-Empfehlung umfasst parallel die Anwendung der Minderung des Lieferanten, wenn die Aussetzung des Produktes nicht möglich ist, und nach den BOD 22-01 Richtlinien für Cloud-Dienste. Diese Indikationen sind nicht nur formal: In der Praxis beinhalten sie die Änderung der Exposition von Servern, den Aushärtungszugriff und die Überprüfung von Audits und Aufzeichnungen auf der Suche nach verdächtigen Aktivitäten.

Diese Episode ist nicht isoliert in der letzten Geschichte von Fortinet. In den vergangenen Monaten veröffentlichte das Unternehmen Patches für andere kritische Fehler in seinen Produkten, von denen einige auch als in realen Umgebungen genutzt werden berichtet wurden. Diese Wiederholung hat bestimmte Fortinet-Produktfamilien zu bevorzugten Zielen für anspruchsvolle Kampagnen gemacht; daher erfordert jede neue Verwundbarkeit eine schnelle und koordinierte Reaktion.

Für einen IT- oder Sicherheitsmanager ist das Antwortfenster schmal. Neben der Anwendung des offiziellen Hotfixs oder des empfohlenen Updates gibt es praktische Maßnahmen, die das Betriebsrisiko reduzieren können, während der Patch abgeschlossen ist: den Zugriff auf das EMS durch Zugriffskontrolllisten und VPNs beschränken, die Managementkonsole aus dem direkten Zugriff aus dem Internet bewegen, eine detaillierte Registrierung und Überwachung ungewöhnlicher Verbindungen aktivieren und Reaktionspläne erstellen, die die Systemisolation und Integritätsprüfung nach der Abhilfe beinhalten. Es ist auch praktikabel, Verwaltungskonten, Anmeldeinformationen und Schlüssel zu überprüfen, die möglicherweise beeinträchtigt worden sind und gegebenenfalls zu rotieren.

Die Dynamik der zentralen Management Schwachstellen zeigt, dass moderne Cybersicherheit nicht nur eine technische Übung ist: es ist ein organisatorisches Problem. Software schnell zu aktualisieren, genaue Bestandsaufnahmen von exponierten Vermögenswerten zu erhalten und die Kommunikation zwischen Sicherheitsteams, Betrieb und Management zu koordinieren sind wichtige Aufgaben, um zu verhindern, dass ein einziger Ausfall zu einem großen Ereignis führt.

Wenn Sie FortiClient EMS verwalten, erwarten Sie nicht: Überprüfen Sie Ihre Serverversion, überprüfen Sie die Dokumentation des Herstellers und wenden Sie die Hotfixes oder empfohlenen Updates an. Um die offizielle Mitteilung der US Cybersecurity-Agentur zu konsultieren. UU und das Compliance-Framework verstehen, können Sie die CISA-Note im vorherigen Link überprüfen. Zur Beurteilung der öffentlichen Exposition von EMS-Instanzen Die Welt der Welt bietet eine Ansicht, dass, obwohl es nicht sagt, wie viele gepatelt werden, zeigt die Größe der Bereitstellung aus dem Internet zugänglich. Und um nach Fortinets offiziellen Veröffentlichungen und Mitteilungen über diese und andere Schwachstellen zu suchen, ist die Sicherheits-Anzeige des Unternehmens ein empfohlener Ausgangspunkt: Fortinet Produktsicherheit Anmerkungen.

Im Hintergrund ist die Lektion klar: Wenn ein Angriffsvektor die Managementschicht beeinflusst, machen die Reaktionsgeschwindigkeit und die Arbeitshygiene den Unterschied zwischen einem kontrollierten Vorfall und einem Spalt mit umfangreichen Folgen. Die Aufforderung der CISA an den Privatsektor, so dringend zu handeln, wie die Bundesbehörden nicht rhetorisch sind; es ist die Forderung, eine schattenbelastete Verwundbarkeit in den Augen aller zu verhindern.