O perímetro se desdibuja: FortiClient EMS expõe a consola de gestão como vetor de intrusão

Um novo ataque dirigido a infra-estruturas de gestão de endpoints sublinha um princípio básico de segurança: quando a ferramenta que deve proteger é comprometida, o perímetro é desdibuja. Em maio de 2026 observou-se uma campanha que aproveitou uma vulnerabilidade crítica em FortiClient EMS, identificada como CVE-2026-35616, para distribuir um ladrão de credenciais que se fazia passar por uma atualização legítima do cliente. O que o torna especialmente perigoso não é apenas a gravidade da falha, mas o vetor escolhido: a própria via de gestão que os administradores usam para implantar políticas e atualizações.

A exploração, segundo a análise publicada por pesquisadores, permitia contornar a autenticação da API e obter privilégios suficientes para modificar configurações de EMS, inserir scripts maliciosos e executar comandos remotos em todos os endpoints gerenciados, sem necessidade de comprometer cada dispositivo separadamente. Entre os sinais de ataque identificados estão a presença do executável camuflado chamado FortiEndpoint_Patch.exe, o uso de fortitray.exe para lançar programas .cmd e invocação de PowerShell com payloads codificados em Base64 que descarregam e exfiltram informações sensíveis a uma infraestrutura controlada pelo atacante.

O risco prático é alto: os roubadores apontados para navegadores baseados em Chromium e Gecko podem capturar cookies de sessão e credenciais armazenadas, o que potencialmente permite reutilizar sessões para acessar serviços em nuvem, internos e de terceiros, mesmo em ambientes com MFA se a reutilização de sessão o permitir. Além disso, ao aproveitar os controlos legítimos da plataforma de gestão, os atacantes podem esconder a atividade dentro de operações administrativas aparentemente válidas, dificultando a detecção por processos tradicionais.

As implicações operacionais são claras: primeiro, atualizar imediatamente FortiClient EMS à versão corrigida (7.4.7 ou superior), uma vez que o fabricante publicou adesivos que fecham o bypass de autenticação da API. Fortinet mantém informações de segurança e avisos no seu portal oficial, que é a fonte primária para adesivos e atenuações: https://www.fortinet.com/support/product-security. Em paralelo, é imprescindível ativar processos de resposta que incluam a rotação de credenciais, invalidação de sessões e revisão de tokens e cookies que poderiam ter sido capturados.

Do ponto de vista de detecção e contenção, convém procurar indicadores específicos: alterações em perfis de acesso remoto e políticas de endpoint em EMS, presença de FortiEndpoint_Patch.exe em pastas como ProgramData, execução cmd.exe invocada por fortitray.exe, e comandos do PowerShell com parâmetros - EncodedCommand ou chamadas a Invoke-Expression que baixem binários. Monitorizar saídas de HTTP POST para endereços suspeitos e bloquear comunicações a infra-estruturas maliciosas conhecidas é outra ação imediata que pode mitigar a exfiltração em curso.

Não basta bloquear o tráfego: há que endurecer a gestão. A isolar a rede e o acesso administrativo de EMS, forçar MFA para contas que gerenciam a consola, restringir o acesso da API por lista branca de IPs e habilitar registro detalhado de mudanças são medidas de mitigação que reduzem o impacto de uma violação similar no futuro. Também é recomendável aplicar princípios de mínimo privilégio nas contas de EMS e segmentar a consola de gestão para que um acesso comprometido não dê controle total sobre todos os endpoints.

A campanha também serve como lembrete para rever a postura de execução de PowerShell e scripts em endpoints: implementar políticas de execução restrita, ativar bloqueio de execução de comandos codificados quando possível e aproveitar capacidades nativas de detecção de comportamentos anormais em PowerShell. A Microsoft oferece guias e melhores práticas de segurança em PowerShell que podem ajudar a endurecer essas superfícies: https://learn.microsoft.com/powershell/scripting/overview.

Para equipes de resposta a incidentes e CSIRT, as ações recomendadas incluem a coleta forense do EMS para recuperar mudanças de configuração, revisão de logs de gestão, busca de artefatos em endpoints gerenciados e coordenação com o fornecedor para validar integridade do ambiente. Notificar as partes interessadas, avaliar o acesso a contas sensíveis e, se necessário, contactar as autoridades e especialistas externos em resposta a incidentes são passos prudentes para gerir a exposição.

Finalmente, este incidente reafirma uma lição estratégica: confiar na cadeia de ferramentas de gestão sem controlos compensatórios é um risco sistémico. As organizações devem tratar os consoles de administração como ativos críticos e protegê-los com controlos rigorosos, auditoria contínua e planos de resposta específicos. A prevenção técnica (parcheo e segmentação), a detecção orientada para artefatos de ataque e os procedimentos de resposta bem ensaiados são a combinação necessária para mitigar não só esta ameaça concreta, mas a classe de ataques que exploram a confiança administrativa.