Η Fortinet κυκλοφόρησε έκτακτες ενημερώσεις για μια κρίσιμη ευπάθεια ασφαλείας που επηρεάζει το FortiClient EMS και έχει ήδη χρησιμοποιηθεί σε επιθέσεις. Η ευπάθεια CVE-2026-35616 με βαθμολογία CVSS 9.1 αποτελεί σοβαρή απειλή για τις επιχειρήσεις που χρησιμοποιούν το σύστημα διαχείρισης endpoints της εταιρείας. Η κρισιμότητα της ευπάθειας ενισχύεται από το γεγονός ότι επιτρέπει μη πιστοποιημένη πρόσβαση, κάτι που την καθιστά ιδιαίτερα επικίνδυνη για οργανισμούς που εκθέτουν τα συστήματά τους στο διαδίκτυο.
Η συγκεκριμένη ευπάθεια περιγράφεται ως παράκαμψη πρόσβασης API πριν από την πιστοποίηση και οδηγεί σε κλιμάκωση προνομίων. Αφορά ανεπαρκή έλεγχο πρόσβασης στο FortiClient EMS, που επιτρέπει σε μη πιστοποιημένο εισβολέα να εκτελέσει μη εξουσιοδοτημένο κώδικα ή εντολές μέσω κακόβουλων αιτημάτων. Το πρόβλημα επηρεάζει τις εκδόσεις 7.4.5 έως 7.4.6 του FortiClient EMS, οι οποίες χρησιμοποιούνται ευρέως σε εταιρικά περιβάλλοντα για τη διαχείριση και παρακολούθηση endpoints. Η φύση της ευπάθειας καθιστά ιδιαίτερα ευάλωτους τους οργανισμούς που βασίζονται στο FortiClient EMS για την κεντρική διαχείριση της ασφάλειας των σταθμών εργασίας τους.
Δείτε επίσης: Fortinet: Κρίσιμη ευπάθεια SQL Injection στο FortiClient EMS
Οι ερευνητές Simo Kohonen από την Defused Cyber και Nguyen Duc Anh πιστώθηκαν με την ανακάλυψη και αναφορά της ευπάθειας. Η Defused Cyber σημείωσε ότι παρατήρησε zero-day εκμετάλλευση της CVE-2026-35616, γεγονός που υπογραμμίζει την άμεση ανάγκη για επιδιόρθωση. Σύμφωνα με την watchTowr, οι προσπάθειες εκμετάλλευσης της ευπάθειας καταγράφηκαν για πρώτη φορά στα honeypots τους στις 31 Μαρτίου 2026. Αυτό το χρονοδιάγραμμα δείχνει ότι οι κακόβουλοι δράστες κινήθηκαν γρήγορα για να εκμεταλλευτούν την ευπάθεια, πιθανότατα αξιοποιώντας το γεγονός ότι πολλές ομάδες ασφαλείας έχουν μειωμένο προσωπικό ασφαλείας κατά τη διάρκεια των διακοπών του Πάσχα.
Fortinet FortiClient EMS: CVE-2026-35616
Η επιτυχής εκμετάλλευση της ευπάθειας θα μπορούσε να επιτρέψει σε μη πιστοποιημένο εισβολέα να παρακάμψει τις προστασίες πιστοποίησης και εξουσιοδότησης του API, εκτελώντας κακόβουλο κώδικα ή εντολές μέσω κατασκευασμένων αιτημάτων. Η Fοrtinet προτρέπει τους ευάλωτους πελάτες να εγκαταστήσουν το hotfix για τις εκδόσεις 7.4.5 και 7.4.6. Η ευπάθεια κατηγοριοποιείται ως CWE-284 (Improper Access Control), που σημαίνει ότι το σύστημα αποτυγχάνει να περιορίσει ή να ελέγξει σωστά την πρόσβαση σε πόρους, επιτρέποντας σε μη εξουσιοδοτημένους χρήστες να αποκτήσουν πρόσβαση σε ευαίσθητες λειτουργίες.
Αυτή η εξέλιξη έρχεται μόλις λίγες ημέρες μετά από μια άλλη πρόσφατα διορθωμένη ευπάθεια στο FortiClient EMS (CVE-2026-21643, βαθμολογία CVSS: 9.1) που βρέθηκε να βρίσκεται υπό ενεργή εκμετάλλευση. Προς το παρόν είναι άγνωστο εάν ο ίδιος δράστης απειλής βρίσκεται πίσω από την εκμετάλλευση των δύο ευπαθειών ή εάν χρησιμοποιούνται μαζί για πιο ισχυρές επιθέσεις.
Δείτε επίσης: Fortinet FortiClient EMS: Κυκλοφόρησε PoC exploit για κρίσιμη ευπάθεια
Αυτό το μοτίβο επαναλαμβανόμενων ευπαθειών στο ίδιο προϊόν εγείρει ερωτήματα σχετικά με τις διαδικασίες ασφαλούς ανάπτυξης της Fοrtinet και τη συνολική ασφάλεια του FortiClient EMS. Οι ειδικοί ασφαλείας προειδοποιούν ότι οι εισβολείς μπορεί να αναπτύσσουν αλυσίδες εκμετάλλευσης που συνδυάζουν πολλαπλές ευπάθειες για μέγιστο αντίκτυπο.
Προηγμένες τεχνικές προστασίας και μέτρα άμυνας
Πέρα από την άμεση εφαρμογή των patches, οι οργανισμοί πρέπει να υιοθετήσουν μια πολυεπίπεδη προσέγγιση ασφαλείας για την προστασία από παρόμοιες απειλές. Η υλοποίηση network segmentation μπορεί να περιορίσει την έκθεση του FortiClient EMS στο διαδίκτυο, ενώ η χρήση Web Application Firewalls (WAF) μπορεί να φιλτράρει κακόβουλα αιτήματα πριν φτάσουν στο σύστημα. Επιπλέον, η εφαρμογή αρχών Zero Trust και η συνεχής παρακολούθηση των API calls μπορούν να βοηθήσουν στην έγκαιρη ανίχνευση ανώμαλης δραστηριότητας. Οι διαχειριστές συστημάτων πρέπει επίσης να διασφαλίσουν ότι τα logs του FortiClient EMS παρακολουθούνται ενεργά και ότι υπάρχουν διαδικασίες έκτακτης ανάγκης για την απομόνωση συστημάτων σε περίπτωση παραβίασης.
Ο Benjamin Harris, CEO και ιδρυτής της WatchTowr, σημείωσε ότι η χρονική στιγμή εκμετάλλευσης αυτού του νέου zero-day πιθανότατα δεν είναι συμπωματική. Οι εισβολείς συχνά επιλέγουν στρατηγικά τον χρόνο, όπως διακοπές και σαββατοκύριακα, για να εκτελέσουν τις επιθέσεις τους, εκμεταλλευόμενοι το μειωμένο προσωπικό στις ομάδες ασφαλείας.
Δείτε επίσης: Fortinet: Κρίσιμη ευπάθεια στο FortiClient EMS
“Οι εισβολείς έχουν δείξει επανειλημμένα ότι τα σαββατοκύριακα των διακοπών είναι η καλύτερη στιγμή για να κινηθούν. Οι ομάδες ασφαλείας είναι μισές, οι μηχανικοί εφημερίας είναι αποσπασμένοι, και το παράθυρο μεταξύ παραβίασης και ανίχνευσης εκτείνεται από ώρες σε ημέρες. Το Πάσχα, όπως όλες οι διακοπές, είναι μια καλή ευκαιρία για επίθεση”, δήλωσε ο Harris. Αυτή η τακτική αποδεικνύει τη σημασία της διατήρησης επαρκούς προσωπικού ασφαλείας ακόμη και κατά τη διάρκεια διακοπών, ενώ σημαντική είναι και η ύπαρξη αυτοματοποιημένων συστημάτων ανίχνευσης και απόκρισης.
