Fortinet FortiClient Endpoint Management Server（EMS）に影響する、認証・認可の重大なバイパス脆弱性「CVE-2026-35616」について、実証コード（PoC）のエクスプロイトが公開されました。
GitHubユーザーのAlaatk氏が公開したリポジトリには、脆弱なサーバー上で保護されたAPIエンドポイントへ認証なしにアクセスできるPythonスクリプトが含まれています。この脆弱性のCVSSスコアは9.1で、すでに実環境で悪用されています。
影響を受けるのは、FortiClient EMSのバージョン7.4.5および7.4.6です。Fortinetは根本原因を不適切なアクセス制御（CWE-284）と位置づけており、細工したリクエストによって、認証されていない攻撃者が不正なコードやコマンドを実行できる可能性があると警告しています。
関連するセキュリティアドバイザリ「FG-IR-26-099」は2026年4月4日に最初に公開されました。つまり、悪用への懸念は、リポジトリで最近更新されたドキュメントよりも前から存在していたことになります。
リポジトリには、エクスプロイトファイルのcve_2026_35616.pyに加え、READMEとスクリーンショットが収められています。ドキュメントでは、この問題を、盗まれた管理者認証情報を必要とする攻撃ではなく、認証前のバイパスとして説明しています。
記載されている成果は、本来であれば認証が必要なAPIエンドポイントへのアクセスです。この説明は、Fortinetのアドバイザリのタイトル「APIの認証・認可バイパス」と一致します。ただしベンダー側は、不正な実行を伴うより広範な影響が生じ得るとしています。
このスクリプトの実行には、Pythonパッケージのrequests、urllib3、cryptographyに加え、システムのPATHから呼び出せるOpenSSL実行ファイルが必要です。
スクリプトは、標的のアドレスと、任意指定のポートを受け付けます。作者は、利用目的を教育的な研究と、システム所有者から明示的な書面による許可を得て実施するテストに限定しています。
ただし、リポジトリが主張するエクスプロイトの動作を、独立した検証結果として扱うべきではありません。READMEには、検証済みの成功率や、すべての展開条件の一覧が記載されていません。公開されたスクリプトがFortinetのアドバイザリに記載された影響をすべて引き起こせることを示す内容もありません。
そのため、ドキュメントに記載されたAPIバイパスの能力と、ベンダーが評価するコマンド実行の可能性は、別個の主張として区別する必要があります。一方、Fortinetは、この脆弱性が実環境で悪用されたことを明確に認めています。
これとは別に、米国立脆弱性データベース（NVD）によると、この脆弱性は2026年4月6日にCISAの悪用が確認された脆弱性（KEV）カタログに追加されました。対象となる連邦機関の対応期限は4月9日です。
KEVへの登録は、実証コードが公開されたこと以上に、対策の運用上の重要性を裏づけています。公開エクスプロイトは再現可能なテスト手段を増やしますが、悪意ある悪用がいつ始まったのかを示すものではありません。また、攻撃者がこの実装を使用したことを証明するものでもありません。
Fortinetは、影響を受ける組織に対し、FortiClient EMSをバージョン7.4.7以降へアップグレードするよう呼びかけています。7.4.5と7.4.6向けには、ホットフィックスの適用手順も提供しており、これらのホットフィックスで本問題の悪用を完全に防げるとしています。FortiClient EMS 7.2は影響を受けないとされています。
Fortinetはさらに、FortiClient CloudとFortiSASEについては脆弱性を修正済みで、これらのサービスの利用者に必要な対応はないと説明しています。
管理者は、自組織のリスクを判断してベンダーの適切な修正ガイダンスを適用する際に、こうしたマネージドサービスと、影響を受けるEMSの展開環境とを区別する必要があります。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
翻訳元: https://cyberpress.org/poc-fortinet-forticlient-ems-authentication/
