Fortinet FortiClient Endpoint Management Server(EMS)の重大な認証バイパスの脆弱性「CVE-2026-35616」について、実証コード(PoC)のエクスプロイトが公開されました。この脆弱性は、2026年春から実際の攻撃で悪用されています。
ExploitPrevention Tools
FortiClient EMSの認証バイパス
GitHubユーザーのAlaatk氏が公開した情報によると、「CVE-2026-35616 FortiClient EMS Pre-Auth Bypass」というリポジトリには、Pythonスクリプト(cve_2026_35616.py)、README、スクリーンショットが含まれています。
READMEには、このスクリプトを使うと認証なしで保護されたAPIエンドポイントにアクセスできると記載されています。本稿執筆時点で、このリポジトリのスターは40、フォークは11でした。
スクリプトの実行には、requests、urllib3、cryptographyの各パッケージと、システムPATH上のOpenSSLが必要です。使い方は python3 cve_2026_35616.py [port] です。READMEは、このツールを許可されたテスト専用としています。
このエクスプロイトが動作するというリポジトリの主張は、第三者による検証を受けていません。READMEには成功率の記載がなく、Fortinetが説明するすべての影響をスクリプトが実現できることも示されていません。
CVE-2026-35616は、FortiClient EMS 7.4.5から7.4.6に存在する不適切なアクセス制御の脆弱性(CWE-284)です。認証されていない攻撃者が細工したリクエストを送ることで、不正なコードやコマンドを実行できます。FortinetはCVSSスコアを9.1と評価しており、NVDは9.8(Critical)としています。
Bishop Foxの分析では、根本原因は証明書ベースの認証にあるとされています。攻撃者は、Djangoアプリケーションがorg Apache mod_ssl WSGI環境変数と同等のものとして信頼するHTTPリクエストヘッダーを偽装できます。
別の公開リポジトリは、偽装されるヘッダーを X-SSL-CLIENT-VERIFY としています。また別の研究者は、これをApacheリバースプロキシの背後で起きる「信頼されたヘッダー」の設計ミスだと説明しています。このプロキシは、本来は相互TLSを終端し、クライアント証明書の検証結果をバックエンドに渡す役割を担っています。
| 項目 | 詳細 |
| CVE | CVE-2026-35616 |
| アドバイザリ | FG-IR-26-099 |
| 影響を受けるバージョン | FortiClient EMS 7.4.5–7.4.6 |
| 影響を受けないバージョン | FortiClient EMS 7.2 |
| 修正バージョン | 7.4.7以降 |
| CVSS | 9.1(Fortinet)/9.8(NVD) |
| 攻撃経路 | ネットワーク、認証不要、ユーザー操作不要 |
Fortinetは2026年4月4日にアドバイザリFG-IR-26-099を公開し、悪用を確認したと明らかにしました。The Registerは、この脆弱性が少なくとも3月31日から攻撃を受けているとみられ、ゼロデイとして悪用されたと報じています。
CISAは4月6日にこの脆弱性を既知の悪用された脆弱性(KEV)カタログに追加し、連邦機関の対処期限を4月9日に設定しました。その後の報道では、2026年5月にもさらなる悪用活動が確認されたとされています。
エクスプロイトコードが公開されたことで、スキルの低い攻撃者でも攻撃しやすくなります。インターネットに公開されたEMSサーバーを狙った便乗的なスキャンは、今後増加する可能性が高いとみられます。
ExploitPrevention Tools
EMSサーバーが侵害されると、攻撃者に管理者権限のAPIアクセスを許すおそれがあります。そのアクセスを足掛かりに、企業全体の管理対象エンドポイントでコードが実行される可能性があります。
Fortinetは、FortiClient EMS 7.4.7以降へのアップグレードを推奨しています。7.4.5と7.4.6向けにはホットフィックスも提供しており、悪用を完全に防止できるとしています。FortiClient CloudとFortiSASEはFortinetが対処済みのため、利用者側の作業は不要です。
推奨される対応は次のとおりです。EMS 7.4.5および7.4.6のすべてのサーバーに、直ちにパッチまたはホットフィックスを適用します。EMSの管理インターフェースをインターネットへの直接公開から外し、信頼できるネットワークにアクセスを限定します。2026年3月31日までさかのぼってWebログとAPIログを確認し、とくに偽装されたクライアント証明書ヘッダーなど、不審なリクエストがないかを調べます。EMSサーバーと管理対象エンドポイントについて、不審なコマンド、新規の管理者アカウント、不正なソフトウェア展開がないかを点検します。パッチ未適用でインターネットに公開されているサーバーは、侵害された可能性があるものとして扱い、インシデント対応を開始します。
シンガポールのCSA(サイバーセキュリティ庁)のアドバイザリも、悪用が成功するとEMSサーバーが完全に侵害される可能性があると警告しています。
本稿は約500語です。参照した情報源にハッシュ値やネットワーク上の侵害指標は見当たらなかったため、IOC表は省略しました。
翻訳元: https://gbhackers.com/forticlient-ems-authentication-bypass/
