Błąd w FortiClient EMS 7.4.5 i 7.4.6 pozwala bez logowania wykonać polecenia na serwerze zarządzającym komputerami firmy. CISA i Fortinet potwierdzają ataki. Zainstaluj poprawkę i sprawdź ślady włamania.
Ten alert jest dla zarządu, CTO i CFO firm, które zarządzają komputerami pracowników przez serwer Fortinet FortiClient EMS. Werdykt: jeśli EMS działa w wersji 7.4.5 lub 7.4.6 bez poprawki, zainstaluj hotfix albo wersję 7.4.7 lub nowszą dziś i sprawdź serwer pod kątem włamania, bo luka jest aktywnie wykorzystywana bez logowania.
Amerykańska agencja CISA 6 kwietnia 2026 roku dopisała do katalogu KEV podatność CVE-2026-35616 w Fortinet FortiClient EMS. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach. CISA dała agencjom federalnym tylko 3 dni na naprawę, co oznacza tryb wyjątkowy.
FortiClient EMS to serwer, który centralnie zarządza programem FortiClient na laptopach i komputerach pracowników: rozsyła ustawienia, decyduje o dostępie do sieci i zbiera informacje o stanie stacji. Błąd w kontroli dostępu pozwala napastnikowi bez konta ominąć uwierzytelnienie interfejsu API i wykonać na serwerze nieautoryzowany kod lub polecenia. Fortinet potwierdził wykorzystanie luki w atakach i 4 kwietnia 2026 roku wydał awaryjne poprawki.
Nietypowe jest to, że podatne są tylko dwa nowsze wydania, 7.4.5 i 7.4.6. Firmy aktualizujące system sumiennie mogły trafić dokładnie w podatne okno, a starsza gałąź 7.2 nie jest objęta błędem.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-35616 (EUVD-2026-18963 w europejskiej bazie ENISA) |
Data dodania do CISA KEV | 2026-04-06 |
Termin naprawy wg CISA | 2026-04-09 (3 dni od wpisu) |
Produkt | Fortinet FortiClient EMS (Endpoint Management Server) |
Wersje zagrożone | FortiClient EMS 7.4.5 i 7.4.6 bez hotfixa. Gałąź 7.2 nie jest podatna |
Wersje bezpieczne | Hotfix producenta dla 7.4.5 i 7.4.6 (dla 7.4.6: build 7.4.6.2170); trwała poprawka w 7.4.7. Dokumentacja producenta obejmuje już także wydanie 7.4.8 |
Typ podatności | Niewłaściwa kontrola dostępu, obejście uwierzytelnienia API przed zalogowaniem; CWE-284 |
Ocena CVSS | Producent: 9.8 bazowo (CVSS 3.1, KRYTYCZNA); 9.1 KRYTYCZNA po uwzględnieniu metryk czasowych (działający kod ataku, oficjalna poprawka), tak podaje rekord CVE i ENISA. Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie firmę, w której kierownik zmiany wydaje polecenia wszystkim pracownikom przez radiowęzeł. Do dyżurki z mikrofonem wpuszcza się tylko osoby z identyfikatorem. Ochroniarz nie sprawdza jednak identyfikatora, tylko pyta: „czy ktoś już sprawdził twoją kartę?”. Wystarczy odpowiedzieć „tak”, żeby wejść, sięgnąć po mikrofon i wydać polecenie całemu zakładowi.
Tak działał ten błąd. Według analizy Bishop Fox serwer EMS przyjmował informację o tym, że certyfikat klienta został zweryfikowany, z nagłówka zapytania, który napastnik może sam ustawić. Do tego sprawdzał certyfikat tylko po nazwie, bez weryfikacji podpisu. Kto podrobił te dane, trafiał do funkcji API przeznaczonych dla zaufanych urządzeń, a stamtąd do wykonania poleceń na serwerze, który steruje wszystkimi komputerami firmy.
💡 EMS (Endpoint Management Server) to konsola zarządzająca oprogramowaniem ochronnym na komputerach pracowników. API to „wejście dla programów”, przez które urządzenia i aplikacje rozmawiają z serwerem. Hotfix to szybka, doraźna poprawka wydawana przed pełną wersją. Metryki czasowe CVSS uwzględniają to, czy istnieje kod ataku i czy jest poprawka, dlatego ta sama luka może mieć dwie oceny. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba łączy się z serwerem EMS | Musi mieć ważny certyfikat lub konto | Może ominąć uwierzytelnienie spreparowanym zapytaniem |
Polecenia dla komputerów pracowników | Wydaje tylko administrator | Napastnik z kontrolą nad serwerem może wpływać na zarządzane stacje |
Decyzja o dostępie do sieci | Oparta na stanie komputera raportowanym do EMS | Wynik może być zafałszowany |
Logi logowania | Pokazują nieudane próby | Nieudanych logowań nie ma, bo logowanie zostało pominięte |
Aktualny system | Zwykle oznacza bezpieczny | Właśnie najnowsze 7.4.5 i 7.4.6 są podatne |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga tylko dostępu sieciowego do serwera EMS, dlatego najbardziej zagrożone są instalacje osiągalne z internetu (Shadowserver w kwietniu 2026 roku liczył ich ponad 2000). CISA ocenia atak jako możliwy do zautomatyzowania, a jego skutek techniczny jako całkowity.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Automatyczne skanowanie internetu w poszukiwaniu serwerów FortiClient EMS i ustalanie wersji | Lista podatnych serwerów 7.4.5 i 7.4.6 |
2. Wejście | T+kilka minut | Wysłanie spreparowanego zapytania z podrobionymi danymi certyfikatu do API | Dostęp do funkcji bez logowania |
3. Wykonanie poleceń | T+kilkanaście minut | Uruchomienie własnych poleceń na serwerze EMS | Kontrola nad serwerem zarządzającym |
4. Utrwalenie | T+1 do 24 godzin | Założenie kont administracyjnych, instalacja narzędzi zdalnego dostępu | Dostęp, który przetrwa aktualizację |
5. Rozszerzenie | T+1 do 7 dni | Wykorzystanie zaufania komputerów do EMS, kradzież danych o urządzeniach i użytkownikach, ruch w głąb sieci | Dostęp do stacji roboczych i serwerów firmy |
6. Wykorzystanie | T+1 do 4 tygodni | Kradzież danych, cichy długotrwały dostęp lub przygotowanie szyfrowania | Wyciek, przestój, szantaż |
Mogę Ci jakoś pomóc?
Serwer EMS to nie jeden z wielu serwerów, tylko punkt, któremu ufają wszystkie komputery pracowników. Przejęcie go oznacza, że firma musi zadać sobie pytanie, czy może ufać każdej stacji, którą ten serwer zarządzał. Do tego luka nie wymaga hasła ani kliknięcia, a atak jest zautomatyzowany.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Konieczność odbudowy EMS i weryfikacji wszystkich zarządzanych komputerów, możliwy przestój | Dni | 40 tys. do 300 tys. PLN (przestój, przeinstalowanie stacji) |
Bezpieczeństwo danych | Wyciek danych o urządzeniach i użytkownikach, dalszy dostęp do danych firmy | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty zewnętrznych specjalistów, nadgodzin, ewentualny okup | Tygodnie | 80 tys. do 800 tys. PLN łącznie |
Reputacyjny | Pytania klientów i ubezpieczyciela o to, dlaczego narzędzie ochronne stało się drogą ataku | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli dotyczy danych osobowych, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z FortiClient EMS 7.4.5 lub 7.4.6
bez hotfixa, dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy podatnej wersji dostępnej z internetu ryzyko jest krytyczne (atak bez logowania, zautomatyzowany, potwierdzony, pełna kontrola nad serwerem zarządzającym), natomiast firma z gałęzią 7.2, wersją 7.4.7 lub nowszą albo z zainstalowanym hotfixem jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić dokładny numer wersji i kompilacji FortiClient EMS oraz czy zainstalowano hotfix | Dziś | Administrator Fortinet |
2 | 🔴 NATYCHMIAST | Jeśli wersja to 7.4.5 lub 7.4.6 bez hotfixa: ograniczyć dostęp do serwera z internetu i zainstalować hotfix lub wersję 7.4.7 lub nowszą | Dziś | Administrator Fortinet / partner IT |
3 | 🔴 NATYCHMIAST | Sprawdzić konta administracyjne EMS i ich ostatnie zmiany | Dziś | Administrator Fortinet |
4 | 🟠 PILNIE | Zgodnie z zaleceniem CISA sprawdzić oznaki włamania na wszystkich produktach Fortinet dostępnych z internetu, nie tylko na EMS | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Przejrzeć logi serwera EMS i ustawienia wysyłane do komputerów od początku kwietnia 2026 roku | Do 7 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Wymienić hasła i klucze używane przez EMS, jeśli pojawią się oznaki włamania | Do 7 dni | Administrator |
7 | 🟡 WAŻNIE | Ograniczyć dostęp do konsoli i API EMS do sieci firmowej i zaufanych adresów na stałe | Do 30 dni | CTO |
Producent wydał hotfix dla wersji 7.4.5 i 7.4.6 oraz trwałą poprawkę w wersji 7.4.7, więc brak poprawki nie jest już realnym problemem. Jeśli wdrożenie trzeba zaplanować, do tego czasu pomagają poniższe środki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Hotfix producenta (według producenta nie wymaga przestoju) | Wysoka: usuwa podatność | Łatwa |
Zablokowanie dostępu do EMS z internetu, dopuszczenie tylko VPN lub znanych adresów | Wysoka wobec ataków z zewnątrz | Średnia: pracownicy zdalni muszą łączyć się inną drogą |
Wzmożone monitorowanie logów EMS i kont administracyjnych | Niska jako ochrona, przydatna do wykrycia włamania | Łatwa |
Skanowanie własnego serwera otwartym narzędziem Bishop Fox, które wykrywa brak poprawki | Niska jako ochrona, przydatna do potwierdzenia stanu | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostęp do API EMS | Możliwy bez uwierzytelnienia | Wymaga prawidłowego uwierzytelnienia |
Widoczność serwera | Często otwarty dla internetu | Dostępny tylko z sieci firmowej lub VPN |
Zaufanie do zarządzanych komputerów | Niepewne | Sprawdzone ustawienia i konta |
Wiedza o włamaniu | Brak | Przejrzane logi EMS i innych urządzeń Fortinet |
Zgodność z wymogami | Zaległość wobec terminu CISA z 9 kwietnia 2026 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA i producenta). CISA oceniła wykorzystanie jako aktywne 3 kwietnia 2026 roku |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 bazowo i 9.1 z metrykami czasowymi, KRYTYCZNA (CVSS 3.1, producent) |
PoC dostępny publicznie? | Działający kod ataku istnieje (metryka czasowa producenta); Bishop Fox opublikował szczegóły techniczne i otwarty skaner wykrywający brak poprawki |
Liczba atakowanych firm | Brak publicznych informacji. Shadowserver w kwietniu 2026 roku widział ponad 2000 serwerów EMS dostępnych z internetu (nie wszystkie podatne) |
Kto wykrył błąd | Firma Defused, która zauważyła ataki i zgłosiła je producentowi |
Automatyzacja ataku | TAK (ocena CISA) |
Prognoza EPSS | Około 0,91, górne 0,2% wszystkich podatności, z trendem rosnącym (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2026-35616
CVSS 3.1 bazowo 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 czasowo 9.1/10 ██████████████████░░ KRYTYCZNA
EPSS (próba w 30 dni) ~91% ██████████████████░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia
Mogę Ci jakoś pomóc?
2026-04-03 CISA ocenia wykorzystanie jako aktywne i automatyczne
2026-04-04 Publikacja CVE-2026-35616, hotfix Fortinet dla 7.4.5 i 7.4.6
2026-04-06 CISA dodaje lukę do katalogu KEV
2026-04-07 Bishop Fox publikuje analizę techniczną i skaner
2026-04-09 Termin naprawy wg CISA dla agencji federalnych
... wydanie 7.4.7 z trwałą poprawką
... ponad 5 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: fortiguard.fortinet.com/psirt/FG-IR-26-099 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-35616 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub partner IT używa FortiClient EMS | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: wersja i kompilacja EMS, stan hotfixa, dostępność z internetu | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową instalację hotfixa lub aktualizację oraz ograniczenie dostępu z internetu | CTO | DZISIAJ |
4 | Zlecić sprawdzenie oznak włamania na wszystkich urządzeniach Fortinet dostępnych z internetu | CTO | DO JUTRA |
5 | Zarezerwować budżet na ewentualną analizę powłamaniową | CFO | DO JUTRA |
6 | Sprawdzić, czy umowa serwisowa z partnerem Fortinet obejmuje reagowanie na incydenty | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące zgłaszania incydentów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest dokładna wersja i kompilacja naszego serwera FortiClient EMS? | [wersja] | 🔴 |
2 | Czy konsola lub API EMS są dostępne z internetu? | TAK / NIE | 🔴 |
3 | Kiedy zainstalowaliśmy hotfix lub wersję 7.4.7 albo nowszą? | [data] | 🔴 |
4 | Czy sprawdziliśmy konta administracyjne EMS i ich zmiany od kwietnia 2026 roku? | TAK / NIE | 🟠 |
5 | Czy sprawdziliśmy oznaki włamania na pozostałych urządzeniach Fortinet dostępnych z internetu? | TAK / NIE | 🟠 |
6 | Czy mamy logi EMS z okresu, w którym serwer był podatny? | TAK / NIE | 🟠 |
7 | Kto dostaje biuletyny bezpieczeństwa Fortinet i w jakim czasie na nie reagujemy? | [osoba] | 🟡 |
CVE-2026-35616 pozwala bez logowania przejąć serwer FortiClient EMS w wersjach 7.4.5 i 7.4.6, który steruje zabezpieczeniami komputerów pracowników. Fortinet i CISA potwierdzają ataki, a poprawki są dostępne od kwietnia 2026 roku, więc sprawdzenie wersji, instalacja poprawki i przegląd śladów włamania to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.