El perímetro se desdibuja: FortiClient EMS expone la consola de gestión como vector de intrusión

Un nuevo ataque dirigido a infraestructuras de gestión de endpoints subraya un principio básico de seguridad: cuando la herramienta que debería proteger se ve comprometida, el perímetro se desdibuja. En mayo de 2026 se observó una campaña que aprovechó una vulnerabilidad crítica en FortiClient EMS, identificada como CVE-2026-35616, para distribuir un ladrón de credenciales que se hacía pasar por una actualización legítima del cliente. Lo que lo hace especialmente peligroso no es solo la gravedad del fallo, sino el vector elegido: la propia vía de gestión que los administradores usan para desplegar políticas y actualizaciones.

La explotación, según el análisis publicado por investigadores, permitía eludir la autenticación de la API y obtener privilegios suficientes para modificar configuraciones de EMS, insertar scripts maliciosos y ejecutar comandos remotos en todos los endpoints gestionados, sin necesidad de comprometer cada dispositivo por separado. Entre las señales de ataque identificadas están la presencia del ejecutable camuflado llamado FortiEndpoint_Patch.exe, el uso de fortitray.exe para lanzar scripts .cmd y la invocación de PowerShell con payloads codificados en Base64 que descargan y exfiltran información sensible a una infraestructura controlada por el atacante.

El riesgo práctico es alto: los robadores apuntados a navegadores basados en Chromium y Gecko pueden capturar cookies de sesión y credenciales almacenadas, lo que potencialmente permite reutilizar sesiones para acceder a servicios en la nube, internos y de terceros, incluso en entornos con MFA si la reutilización de sesión lo permite. Además, al aprovechar controles legítimos de la plataforma de gestión, los atacantes pueden ocultar la actividad dentro de operaciones administrativas aparentemente válidas, dificultando la detección por procesos tradicionales.

Las implicaciones operativas son claras: primero, actualizar inmediatamente FortiClient EMS a la versión corregida (7.4.7 o superior), ya que el fabricante ha publicado parches que cierran la bypass de autenticación de la API. Fortinet mantiene información de seguridad y avisos en su portal oficial, que es la fuente primaria para parches y mitigaciones: https://www.fortinet.com/support/product-security. En paralelo, es imprescindible activar procesos de respuesta que incluyan la rotación de credenciales, invalidación de sesiones y revisión de tokens y cookies que pudieran haber sido capturados.

Desde el punto de vista de detección y contención, conviene buscar indicadores específicos: modificaciones en perfiles de acceso remoto y políticas de endpoint en EMS, presencia de FortiEndpoint_Patch.exe en directorios como ProgramData, ejecución de cmd.exe invocada por fortitray.exe, y comandos de PowerShell con parámetros -EncodedCommand o llamadas a Invoke-Expression que descarguen binarios. Monitorizar salidas HTTP POST hacia direcciones sospechosas y bloquear comunicaciones a infraestructuras maliciosas conocidas es otra acción inmediata que puede mitigar la exfiltración en curso.

No basta con bloquear tráfico: hay que endurecer la gestión. Aislar la red y el acceso administrativo de EMS, forzar MFA para cuentas que gestionan la consola, restringir el acceso de API por lista blanca de IPs y habilitar registro detallado de cambios son medidas de mitigación que reducen el impacto de una vulneración similar en el futuro. También es recomendable aplicar principios de mínimo privilegio en las cuentas de EMS y segmentar la consola de gestión para que un acceso comprometido no otorgue control total sobre todos los endpoints.

La campaña también sirve como recordatorio para revisar la postura de ejecución de PowerShell y scripts en endpoints: implementar políticas de ejecución restringida, habilitar bloqueo de ejecución de comandos codificados cuando sea posible y aprovechar capacidades nativas de detección de comportamientos anómalos en PowerShell. Microsoft ofrece guías y mejores prácticas sobre seguridad en PowerShell que pueden ayudar a endurecer estas superficies: https://learn.microsoft.com/powershell/scripting/overview.

Para equipos de respuesta a incidentes y CSIRT, las acciones recomendadas incluyen la recolección forense del EMS para recuperar cambios de configuración, revisión de logs de gestión, búsqueda de artefactos en endpoints gestionados y coordinación con el proveedor para validar integridad del entorno. Notificar a las partes afectadas, evaluar el alcance del acceso a cuentas sensibles y, si procede, contactar a las autoridades y a especialistas externos en respuesta a incidentes son pasos prudentes para manejar la exposición.

Finalmente, este incidente reafirma una lección estratégica: confiar en la cadena de herramientas de gestión sin controles compensatorios es un riesgo sistémico. Las organizaciones deben tratar las consolas de administración como activos críticos y protegerlas con controles estrictos, auditoría continua y planes de respuesta específicos. La prevención técnica (parcheo y segmentación), la detección orientada a artefactos de ataque y los procedimientos de respuesta bien ensayados son la combinación necesaria para mitigar no solo esta amenaza concreta, sino la clase de ataques que explotan la confianza administrativa.