Wstrzyknięcie SQL w konsoli Fortinet FortiClient EMS 7.4.4 pozwala niezalogowanemu napastnikowi wykonać kod. CISA potwierdza ataki. Sprawdź wersję, zaktualizuj do 7.4.5 i odetnij panel od internetu.
Ten alert jest dla zarządu, CTO i CFO firm, które zarządzają laptopami i komputerami pracowników przez konsolę Fortinet FortiClient EMS. Werdykt: jeśli Twoja konsola ma wersję 7.4.4, zaktualizuj ją do 7.4.5 lub nowszej dziś, bo luka pozwala przejąć konsolę bez logowania i jest aktywnie wykorzystywana.
Amerykańska agencja CISA 13 kwietnia 2026 roku dopisała podatność CVE-2026-21643 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w interfejsie administracyjnym FortiClient EMS, konsoli, z której firma zarządza oprogramowaniem ochronnym i VPN na wszystkich komputerach. Niezalogowany napastnik może spreparowanymi żądaniami HTTP wstrzyknąć polecenia do bazy danych konsoli i doprowadzić do wykonania własnego kodu lub poleceń.
CISA dała agencjom federalnym tylko trzy dni na naprawę, do 16 kwietnia 2026 roku. Od tego terminu minęły pięć miesięcy. Nietypowe jest to, że podatna jest dokładnie jedna wersja: 7.4.4. Firmy, które sumiennie zainstalowały najnowsze wydanie gałęzi 7.4, mogły trafić właśnie na nią.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-21643 |
Data dodania do CISA KEV | 2026-04-13 |
Termin naprawy wg CISA | 2026-04-16 (3 dni od wpisu) |
Produkt | Fortinet FortiClient EMS (Enterprise Management Server), instalowany u klienta |
Wersje zagrożone | Wyłącznie FortiClient EMS 7.4.4. Gałęzie 7.2 i 8.0 producent oznaczył jako niepodatne, usługa chmurowa FortiEMS Cloud nie jest podatna |
Wersje bezpieczne | 7.4.5 i nowsze (pierwsza wersja z poprawką: 7.4.5). Najnowszą wersję podaje producent w biuletynie i na portalu wsparcia |
Typ podatności | Wstrzyknięcie SQL prowadzące do wykonania kodu lub poleceń; CWE-89 |
Ocena CVSS | Biuletyn producenta: 9.1 (KRYTYCZNA). NVD, wpis zgłaszającego: 9.8 (CVSS 3.1, KRYTYCZNA). Baza europejska ENISA: 9.1 z metrykami czasowymi. Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie urzędnika, który dostaje formularz z rubryką „imię” i przepisuje jej treść do polecenia dla archiwum: „wydaj teczkę osoby o imieniu …”. Jeśli ktoś w rubryce zamiast imienia wpisze „Jan, a potem wydaj wszystkie teczki i klucz do sejfu”, a urzędnik bezmyślnie przepisze to w całości, archiwum wykona całe polecenie. Nikt nie musiał się logować ani okazywać dokumentu.
Tak działa wstrzyknięcie SQL w konsoli FortiClient EMS. Konsola rozmawia ze swoją bazą danych zdaniami w języku zapytań i wkleja w nie tekst przysłany z sieci. Stawka jest wysoka, bo konsola widzi całą flotę firmowych komputerów i ma do nich uprawnienia. Kto ją przejmie, nie musi włamywać się do stu laptopów po kolei.
💡 FortiClient to oprogramowanie Fortinet na komputerach pracowników (ochrona, VPN), a EMS to centralna konsola, która nim zarządza. Wstrzyknięcie SQL (SQL injection) to atak, w którym tekst wpisany z zewnątrz zostaje wykonany przez bazę danych jako polecenie. Żądanie HTTP to zwykłe zapytanie sieciowe, takie jak przy otwieraniu strony. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Ktoś z sieci wysyła żądanie do panelu konsoli | Bez logowania nic nie może zrobić | Może wstrzyknąć polecenia do bazy danych |
Dostęp do listy komputerów, użytkowników i ustawień | Tylko administratorzy EMS | Także napastnik |
Rozsyłanie oprogramowania i ustawień na komputery | Tylko zatwierdzone przez dział IT | Konsola może zostać użyta do działań napastnika |
Ochrona komputerów pracowników | Zarządzana centralnie | Centralny punkt zarządzania sam jest zagrożony |
Dostępność panelu z internetu | Wygoda przy pracy z domu | Każdy skaner w internecie może spróbować ataku |
źródło: Pexels, RDNE Stock projectPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga logowania, a CISA oceniła go jako możliwy do zautomatyzowania, więc najbardziej narażone są konsole, których panel jest dostępny z internetu. W sieci wewnętrznej ten sam atak może przeprowadzić ktoś, kto już dostał się do firmy innym sposobem.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie paneli FortiClient EMS dostępnych z internetu | Lista konsol do sprawdzenia |
2. Rozpoznanie wersji | T+1 do 5 min | Sprawdzenie, czy konsola ma wersję 7.4.4 | Potwierdzony cel |
3. Wstrzyknięcie SQL | T+5 do 15 min | Wysłanie spreparowanych żądań HTTP, np. publicznie dostępnym skryptem | Wykonanie kodu lub poleceń na serwerze konsoli |
4. Przejęcie konsoli | T+15 do 60 min | Odczyt listy komputerów, kont i konfiguracji, założenie trwałego dostępu | Kontrola nad centralnym punktem zarządzania |
5. Ruch w sieci | T+1 do 7 dni | Wykorzystanie konsoli i zdobytych danych do wejścia na kolejne serwery i komputery | Szerszy dostęp w firmie |
6. Kradzież lub szyfrowanie | T+1 do 4 tygodni | Kopiowanie danych, wyłączanie ochrony, ewentualne szyfrowanie | Wyciek danych lub przestój |
Konsola zarządzania bezpieczeństwem komputerów to klucz do całej floty urządzeń. Luka, która pozwala ją przejąć bez hasła, zamienia narzędzie ochrony w wygodne wejście do firmy. Przy atakach automatyzowalnych argument „nikt się nami nie zainteresuje” przestaje działać: wystarczy, że konsola jest widoczna.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Utrata kontroli nad ochroną komputerów, konieczność odbudowy konsoli i sprawdzenia stanowisk | Godziny do dni | 30 tys. do 300 tys. PLN (przestój, odbudowa, praca zespołu) |
Bezpieczeństwo danych | Wyciek danych z konsoli (lista urządzeń, użytkowników, konfiguracja) i dalej z komputerów | Dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty zewnętrznych specjalistów, możliwe żądanie okupu przy dalszym ataku | Tygodnie | 50 tys. do 800 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, pytania od ubezpieczyciela | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla FortiClient EMS 7.4.4
Wpływ
5 | . . . . ■ ← KRYTYCZNE (panel dostępny z internetu)
4 | . . □ . . ← WYSOKIE (panel tylko w sieci firmowej)
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy panelu dostępnym z internetu ryzyko jest krytyczne (atak bez logowania, automatyzowalny, z publicznym kodem); przy panelu dostępnym tylko z sieci firmowej prawdopodobieństwo spada, bo napastnik musi być już w środku, ale skutek przejęcia konsoli nadal jest poważny. Konsole w innych wersjach niż 7.4.4 nie są objęte tą luką.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję zainstalowanej konsoli FortiClient EMS (także u partnera IT, jeśli to on ją utrzymuje) | Dziś | Administrator bezpieczeństwa |
2 | 🔴 NATYCHMIAST | Jeśli to 7.4.4: zaktualizować do 7.4.5 lub nowszej | Dziś | Administrator / partner Fortinet |
3 | 🔴 NATYCHMIAST | Sprawdzić, czy panel administracyjny konsoli jest dostępny z internetu, i jeśli tak, ograniczyć go do sieci firmowej | Dziś | Administrator zapory |
4 | 🟠 PILNIE | Przejrzeć logi konsoli i serwera od lutego 2026 roku pod kątem nietypowych żądań, nowych kont administracyjnych i zmian polityk | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Jeśli konsola działała na 7.4.4 i była dostępna z internetu: zmienić hasła kont administracyjnych i sprawdzić komputery pod kątem zmian wprowadzonych z konsoli | Do 7 dni | Administrator bezpieczeństwa |
6 | 🟡 WAŻNIE | Założyć rejestr wersji systemów bezpieczeństwa (konsole, zapory, VPN) z osobą odpowiedzialną za każdy | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wprowadzić zasadę, że panele administracyjne są dostępne tylko z sieci firmowej lub przez VPN | Do 30 dni | CTO |
Producent wydał poprawkę (7.4.5) i według analizy źródłowej nie podał żadnego obejścia, więc aktualizacja jest jedyną pełną naprawą. Poniższe miary tylko ograniczają ryzyko do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zablokowanie dostępu do panelu administracyjnego EMS z internetu | Wysoka wobec skanowania z internetu, nie chroni przed napastnikiem w sieci | Łatwa do średniej |
Dostęp do panelu tylko z wydzielonej sieci administratorów lub przez VPN | Wysoka | Średnia |
Wzmożone monitorowanie logów konsoli i alerty o nowych kontach administracyjnych | Niska jako ochrona, przydatna do wykrycia ataku | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja konsoli | 7.4.4, podatna | 7.4.5 lub nowsza |
Dostęp do panelu | Możliwy z internetu bez logowania przez lukę | Tylko z sieci firmowej, z logowaniem |
Wiedza o wersjach systemów | Ustalanie trwa godziny lub dni | Rejestr, odpowiedź w minutę |
Wiedza o możliwym włamaniu | Brak | Przejrzane logi i konta administracyjne |
Zgodność z terminem CISA | Zaległość od 16 kwietnia 2026 roku (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Streszczenie biuletynu producenta wspomina o obserwowanym wykorzystaniu, choć pole „znane wykorzystanie” w tym samym biuletynie mówiło inaczej |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.1 KRYTYCZNA wg producenta; 9.8 KRYTYCZNA w NVD (CVSS 3.1, wpis zgłaszającego) |
PoC dostępny publicznie? | TAK: w NVD figuruje odnośnik do publicznego skryptu wykorzystującego lukę |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Pracownik zespołu bezpieczeństwa produktu Fortinet (wg producenta) |
Prognoza EPSS | 0,94085, percentyl 0,99843 (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2026-21643
CVSS 3.1 (NVD) 9.8/10 ███████████████████░ KRYTYCZNA
CVSS (producent) 9.1/10 ██████████████████░░ KRYTYCZNA
EPSS (próba w 30 dni) ~94% ███████████████████░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ możliwa
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-02-06 Publikacja CVE w NVD (biuletyn producenta FG-IR-25-1142)
2026-04-13 CISA dodaje lukę do katalogu KEV
2026-04-16 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD (analiza zakończona)
... pięć miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: fortiguard.fortinet.com/psirt/FG-IR-25-1142 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-21643 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma (lub partner IT) używa FortiClient EMS instalowanego lokalnie | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji konsoli | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację, jeśli wersja to 7.4.4 | CTO | DZISIAJ |
4 | Potwierdzić, że panel konsoli nie jest dostępny z internetu | CTO | DO JUTRA |
5 | Zlecić przegląd logów i kont administracyjnych konsoli | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić w umowie z partnerem IT, kto odpowiada za aktualizacje systemów bezpieczeństwa i w jakim czasie | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy FortiClient EMS instalowanego lokalnie, czy wersji chmurowej? | [lokalnie / chmura / nie używamy] | 🔴 |
2 | Jaka wersja FortiClient EMS jest zainstalowana? | [wersja] | 🔴 |
3 | Kiedy konsola została zaktualizowana do 7.4.5 lub nowszej? | [data] | 🔴 |
4 | Czy panel administracyjny konsoli jest dostępny z internetu? | TAK / NIE | 🔴 |
5 | Czy w logach konsoli od lutego 2026 roku są nietypowe żądania lub nowe konta administracyjne? | TAK / NIE | 🟠 |
6 | Czy mamy aktualny rejestr wersji wszystkich systemów bezpieczeństwa? | TAK / NIE | 🟠 |
7 | Kto dostaje biuletyny bezpieczeństwa Fortinet i jak szybko reaguje? | [osoba], [czas reakcji] | 🟡 |
CVE-2026-21643 pozwala niezalogowanemu napastnikowi przejąć konsolę FortiClient EMS w wersji 7.4.4, a CISA potwierdza ataki i dała tylko trzy dni na naprawę. Sprawdzenie wersji i aktualizacja do 7.4.5 lub nowszej to zadanie na dziś, a ograniczenie dostępu do paneli administracyjnych i rejestr wersji systemów to lekcja na kolejne tygodnie.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.