Fortinetが既に実際の攻撃に悪用されているFortiClient EMS の重大な脆弱性を公表しました。
この脆弱性により、認証されていない攻撃者がAPIの保護をバイパスし、さらされたシステム上で不正なコードまたはコマンドを実行できる可能性があります。
「これはゼロデイ脆弱性です。完全なパッチはまだありませんが、信用するべき点があります。Fortinetは休日の週末に急いでホットフィックスをリリースしました。これは、同社がこの問題をどれほど緊急に扱っているかを反映しています。」と、watchTowr のCEO兼創設者のベンジャミン・ハリス氏はeSecurityPlanetへのメールで述べました。
彼は、「watchTowr の Attacker Eye ハニーポットインフラストラクチャは、現在CVE-2026-35616の積極的な悪用をキャプチャしています。Attacker Eye センサーは3月31日に悪用活動を最初にキャプチャしました。これは本日の公開開示の数日前のことで、本格的な活動の前のプロービングのように見えました。」と付け加えました。
FortiClient EMS 脆弱性の詳細
FortiClient EMS は、単なるエンドポイントツールではなく、重大な管理インフラストラクチャとして扱うべきです。
企業内で極めて重要な立場にあり、エンドポイント全体のセキュリティ制御の管理、設定、および実装を担当しています。
攻撃者がこのレイヤーを制御できるようになれば、エンドポイント保護を干渉する、悪意のある設定をプッシュする、規模を拡大してコマンドを実行する、または管理トラストを悪用して環境全体にわたって横移動する可能性があります。
この脆弱性であるCVE-2026-35616は、最近展開されたFortiClient EMS のバージョンに影響を与えており、Fortinetは顧客が今後のリリースで永続的な修正を待つ間に、既にホットフィックスを発行しています。
これはまた、最近数ヶ月間で積極的な悪用の対象となっている2番目の重大なFortiClient EMS の脆弱性でもあり、CVE-2026-21643に続くものです。
同じ脅威アクターが両方のキャンペーンの背後にあるのか、脆弱性が組み合わされているのかはまだ明確ではありませんが、このパターンは、攻撃者がFortiClient EMS を企業環境への高価値なエントリーポイントとして積極的に調査していることを示唆しています。
CVE-2026-35616の詳細分析
CVE-2026-35616は、認証前のAPIアクセスバイパスであり、権限昇格につながる可能性があり、CVSS スコアは9.1です。
根本的な原因はアクセス制御の不適切な実装であり、攻撃者が認証および認可チェックをバイパスする特殊に細工されたAPIリクエストを送信することを許可しています。
基本的に、システムはリクエストが許可されるべきかどうかを適切に検証できず、不正な行為への道が開かれます。
この組み合わせは悪用の障壁を低くします。認証前の脆弱性により、攻撃者は有効な認証情報なしでターゲットシステムと相互作用できるからです。
EMS インスタンスに到達可能な場合—特にインターネットに公開されているか、十分にセグメント化されていない場合—攻撃者は直接悪用を試みることができ、アクセスバイパスから不正なコマンド実行に移行できます。
EMS 環境でのリスク軽減
悪用リスクを軽減するために、組織はEMS 環境に対して適切なアクセス制御を実装する必要があります。
- 最新のホットフィックスを適用し、修正が正常に実装されていることを確認してください。
- EMS アクセスを信頼できる内部ネットワーク、VPN、またはジャンプボックスに制限し、不要なインターネット公開を削除してください。
- EMS をファイアウォールホワイトリストまたはアクセス制御リストの後ろに配置して、APIおよび管理アクセスを制限してください。
- 疑わしいAPI活動、不正なコマンド、または異常な管理動作についてログとテレメトリを確認してください。
- EMS ホストに永続性の兆候（新しいサービス、スケジュールされたタスク、スクリプト、または予期しない外部への接続を含む）がないか監視してください。
- 特権アカウント、サービスアカウント、およびAPI権限を監査および削減し、侵害が疑われる場合は認証情報をローテーションしてください。
- インシデント対応および災害復旧計画をテストして、必要に応じてチームがEMS インフラストラクチャを迅速に封じ込めて再構築できるようにしてください。
これらの対策を組み合わせることで、回復力を構築し、潜在的な侵害の影響範囲を制限できます。
管理プレーン攻撃の増加
このインシデントは、攻撃者が管理プレーンと管理ツールに焦点を当てるという広範なトレンドを反映しています。これらのシステムへのアクセスは、複数のアセットを一度に制御できるからです。
脅威アクターは個別のエンドポイントをターゲットにするのではなく、複数のアセットにアクセスをスケール化し、コマンドを実行し、環境全体にわたってより効率的に横移動するために利用できる集中インフラストラクチャを優先します。
このシフトは、暗黙的な信頼を最小化し、重大なシステム全体に厳格なアクセス制御を実施するのに役立つゼロトラスト・ソリューションの必要性を強調しています。
