Le périmètre n'est pas dessiné : FortiClient EMS expose la console de gestion comme vecteur d'intrusion

Une nouvelle attaque contre l'infrastructure de gestion des paramètres souligne un principe fondamental de sécurité : lorsque l'outil à protéger est compromis, le périmètre est flou. En mai 2026, une campagne a été observée qui a profité de la vulnérabilité critique dans FortiClient EMS, identifié comme CVE-2026-35616, pour distribuer un voleur d'identités qui s'est fait passer pour un client légitime. Ce qui le rend particulièrement dangereux n'est pas seulement la gravité de l'échec, mais le vecteur choisi : le chemin de gestion même que les gestionnaires utilisent pour déployer des politiques et des mises à jour.

L'opération, selon l'analyse publiée par les chercheurs, a permis d'éviter l'authentification de l'API et d'obtenir des privilèges suffisants pour modifier les configurations EMS, insérer des scripts malveillants et exécuter des commandes distantes sur tous les terminaux gérés, sans avoir à compromettre chaque périphérique séparément. Parmi les signes d'attaque identifiés sont la présence de l'exécutable camouflé appelé FortiEndpoint _ Patch.exe, utilisation de Fortitra.exe pour libérer des scripts .cmd et l'invocation de PowerShell avec des charges utiles codées dans Base64 qui téléchargent et exfiltrent des informations sensibles à une infrastructure contrôlée par l'attaquant.

Le risque pratique est élevé: les pilleurs des navigateurs basés sur Chrome et Gecko peuvent capturer les cookies de session et les identifiants stockés, vous permettant potentiellement de réutiliser des sessions pour accéder aux services cloud, internes et tiers, même dans les environnements basés sur MFA si la réutilisation de session le permet. En outre, en profitant des contrôles légitimes de la plate-forme de gestion, les attaquants peuvent cacher l'activité dans des opérations administratives apparemment valides, rendant la détection difficile par des processus traditionnels.

Les implications opérationnelles sont claires : mettre immédiatement à jour FortiClient EMS à la version corrigée (7.4.7 ou plus), puisque le fabricant a publié des correctifs qui ferment le pont d'authentification de l'API. Fortinet maintient des informations et des avis de sécurité sur son portail officiel, qui est la principale source de correctifs et d'atténuation : https: / / www.fortinet.com / support / sécurité des produits. En parallèle, il est essentiel d'activer les processus de réponse qui incluent la rotation des pouvoirs, l'invalidation des sessions et la révision des jetons et des cookies qui peuvent avoir été saisis.

Du point de vue de la détection et du confinement, il convient de rechercher des indicateurs spécifiques: modifications des profils d'accès à distance et des politiques en matière de paramètres dans le SME, présence de FortiEndpoint _ Patch.exe dans des répertoires tels que ProgramData, cmd.exe invoqué par fortittra.exe, et Power Commandes Shell avec paramètres - Commande codée ou appelle à Invoke-Expression pour télécharger des binaires. La surveillance des sorties HTTP POST vers des directions suspectes et le blocage des communications vers des infrastructures malveillantes connues est une autre mesure immédiate qui peut atténuer l'exfiltration continue.

Il ne suffit pas de bloquer le trafic: la gestion doit être renforcée. Isolez l'accès au réseau et à l'administration de EMS, forcez MFA pour les comptes qui gèrent la console, restreignez l'accès à l'API par liste blanche de IPS et permettre l'enregistrement détaillé des changements sont des mesures d'atténuation qui réduisent l'impact d'une violation similaire à l'avenir. Il est également recommandé d'appliquer les principes de privilège minimum dans les comptes SGE et de segmenter la console de gestion de sorte qu'un accès engagé ne donne pas un contrôle total sur tous les paramètres.

La campagne sert également de rappel pour revoir la position de performance de PowerShell et des scripts dans les paramètres : implémenter des politiques d'exécution restreinte, activer le bloc d'implémentation des commandes codées dans la mesure du possible et profiter des capacités de détection de comportement anormaux natives dans PowerShell. Microsoft offre des guides et des meilleures pratiques sur la sécurité de PowerShell qui peuvent aider à durcir ces surfaces: https: / / learn.microsoft.com / powershell / scripting / panorama.

Pour les équipes d'intervention en cas d'incident et le CSIRT, les mesures recommandées comprennent la collecte médico-légale du SGE pour récupérer les changements de configuration, l'examen du registre de gestion, la recherche de paramètres gérés et la coordination avec le fournisseur pour valider l'intégrité de l'environnement. Il est prudent d'informer les parties concernées, d'évaluer l'étendue de l'accès aux comptes sensibles et, le cas échéant, de contacter les autorités et les spécialistes externes en cas d'incidents pour gérer l'exposition.

Enfin, cet incident réaffirme une leçon stratégique : faire confiance à la chaîne d'outils de gestion sans contrôles compensatoires est un risque systémique. Les organisations devraient considérer les consoles de gestion comme des biens essentiels et les protéger avec des contrôles stricts, une vérification continue et des plans d'intervention spécifiques. La prévention technique (patching et segmentation), la détection axée sur les appareils d'attaque et les procédures d'intervention éprouvées sont la combinaison nécessaire pour atténuer non seulement cette menace particulière, mais aussi le type d'attaques qui exploitent la confiance administrative.