CVE-2026-35616

Falha de controle de acesso (CWE-284) na API do FortiClient EMS (Endpoint Management Server) permite que um atacante não autenticado execute código ou comandos não autorizados por meio de requisições manipuladas. A Fortinet confirma exploração ativa no mundo real e a CISA colocou a falha no KEV com prazo de correção de apenas 3 dias — sinal de severidade real, não só de CVSS alto.

A vulnerabilidade está no componente API do FortiClient EMS, o servidor que gerencia agentes FortiClient em endpoints corporativos. A causa raiz classificada é CWE-284 (Improper Access Control): a Fortinet descreve como um bypass de autenticação e autorização na API — ou seja, endpoints que deveriam exigir credenciais válidas e verificação de privilégio aceitam e processam requisições de quem não está autenticado.

O vetor CVSS (AV:N/AC:L/PR:N/UI:N) confirma que o ataque é remoto, de baixa complexidade, sem privilégios prévios e sem interação do usuário. O impacto listado pela Fortinet é 'Escalation of privilege', e o CVSS marca C:H/I:H/A:H — comprometimento total de confidencialidade, integridade e disponibilidade, compatível com execução de código no contexto do serviço EMS (que roda com privilégios elevados no Windows, tipicamente como parte da infraestrutura de gestão de endpoints).

O fornecedor não detalhou publicamente qual endpoint específico da API carece da verificação de autenticação/autorização, nem o mecanismo exato pelo qual a 'requisição manipulada' se converte em execução de comando — informação que normalmente só aparece em análises técnicas de terceiros após o hotfix estar amplamente aplicado. Até o momento desta pesquisa não há writeup técnico público detalhando o endpoint ou o payload.

O pré-requisito prático é acesso de rede à interface da API do FortiClient EMS — não há necessidade de credenciais, conta de usuário ou qualquer interação humana no lado da vítima. Isso torna instâncias de EMS expostas à internet ou alcançáveis por um atacante já presente na rede interna (movimento lateral) diretamente explotáveis.

A Fortinet confirma exploração in the wild antes da publicação do advisory, e a entrada no KEV da CISA reforça que há campanhas ativas usando esta falha, embora não classificadas (ainda) como ligadas a ransomware pela CISA ('Unknown'). A existência de template Nuclei e PoC pública amplia a superfície de quem consegue reproduzir o ataque, incluindo atores de baixa sofisticação que só precisam localizar instâncias EMS expostas.

O resultado final documentado pelo fornecedor é execução de código/comandos não autorizados no servidor EMS, que na prática de gestão de endpoints costuma ter privilégios administrativos sobre a frota de agentes FortiClient — comprometer o EMS pode servir de trampolim para comprometer os endpoints geridos por ele.

A correção definitiva é atualizar para FortiClientEMS 7.4.7 ou superior. Para quem está em 7.4.5 ou 7.4.6 e não pode migrar imediatamente, a Fortinet publicou hotfixes específicos para cada uma dessas versões (ver notas de release linkadas no advisory FG-IR-26-099) — o próprio fornecedor afirma que o hotfix é suficiente para prevenir a exploração por completo enquanto o 7.4.7 não é aplicado.

Versões 7.2.x e a linha 8.0 não são afetadas, segundo a Fortinet — não é necessária ação nessas linhas. Ambientes em FortiClient Cloud e FortiSASE já foram remediados pelo fornecedor sem necessidade de ação do cliente, já que o controle está no lado gerenciado pela Fortinet.

Como controle compensatório até aplicar o hotfix ou upgrade: restringir o acesso à interface/API de administração do EMS apenas a redes de gestão confiáveis (evitar exposição à internet), o que reduz drasticamente a superfície já que o ataque exige alcance de rede à API. Isso não corrige a falha — apenas reduz quem pode tentar explorá-la — e não substitui o patch. Não há indicação nas fontes de que WAF ou regra de firewall genérica bloqueie o ataque de forma confiável, já que o fornecedor não publicou o endpoint ou assinatura exata da requisição maliciosa.

A CISA orienta verificar sinais de comprometimento em qualquer instância de FortiClient EMS exposta à internet, mas nem o advisory da Fortinet nem o registro do KEV fornecem indicadores de comprometimento (IOCs), assinaturas de tráfego ou padrões de log específicos associados à exploração — não há sinal confiável documentado publicamente até o momento. Na ausência de IOCs oficiais, a prática recomendável é auditar logs da API do EMS por requisições anônimas (sem sessão/token válido) a endpoints administrativos e por atividade anômala originada do processo do EMS após tais requisições, além de monitorar criação de processos ou contas inesperadas no host que roda o serviço.