Публичный эксплойт - код, использующий уязвимость, - открывает доступ к защищённым функциям сервера управления конечными точками FortiClient EMS без входа в систему. Речь о CVE-2026-35616 в версиях 7.4.5 и 7.4.6. Уязвимость применяют в реальных атаках как минимум с конца марта 2026 года, а 6 апреля её добавили в каталог Known Exploited Vulnerabilities (известных эксплуатируемых уязвимостей) агентства CISA. Попадание в этот перечень означает подтверждённую активную эксплуатацию. Появление готового инструмента снижает порог входа для менее опытных атакующих.
CVE-2026-35616 в FortiClient EMS
Репозиторий с демонстрационным эксплойтом опубликовал на GitHub пользователь под псевдонимом Alaatk. Внутри лежат скрипт на Python, инструкция и снимок экрана. Автор утверждает, что скрипт даёт неаутентифицированный доступ к защищённым программным интерфейсам (API) сервера. К моменту публикации репозиторий собрал 40 звёзд и 11 форков - собственных копий в чужих аккаунтах. Инструмент требует библиотек requests, urllib3 и cryptography, а также OpenSSL в системном окружении. Автор оговаривает, что запускать его можно только на системах с письменного разрешения владельца.
Как устроен обход аутентификации
Независимого подтверждения работоспособности пока нет. Инструкция не приводит статистику успешных запусков и не доказывает, что код достигает всех последствий, которые описывает Fortinet.
Сама ошибка относится к классу неправильного контроля доступа. Корень проблемы - в сертификатной аутентификации. Аналитики Bishop Fox выяснили, что приложение доверяет заголовкам HTTP-запроса, которые поступают от обратного прокси-сервера. Прокси должен завершать взаимную проверку сертификатов и передавать результат дальше, в приложение. Злоумышленник подделывает заголовок и убеждает сервер, что клиент уже прошёл проверку. Другой исследователь описывает это как ошибку доверия к заголовку за обратным прокси. Атака идёт по сети, учётные данные и действия пользователя не нужны. Fortinet оценивает уязвимость в 9.1 по CVSS, NVD - в 9.8, критический уровень. В качестве последствия вендор называет выполнение неавторизованного кода или команд.
Развитие событий известно по бюллетеню FG-IR-26-099, который Fortinet опубликовала 4 апреля 2026 года. Там же компания сообщила о наблюдаемой эксплуатации. The Register писал, что уязвимость использовали как нулевого дня как минимум с 31 марта. Срок устранения для федеральных ведомств США CISA назначила на 9 апреля. В мае 2026 года отметили новые попытки эксплуатации. Скомпрометированный сервер EMS даёт атакующему административный доступ к программному интерфейсу, а через него - путь к выполнению кода на управляемых конечных точках по всей организации. Консультационный центр Сингапура отдельно предупреждает о полной компрометации сервера.
Что делать администраторам
Защищённые сборки начинаются с FortiClient EMS 7.4.7. Для 7.4.5 и 7.4.6 компания подготовила временные исправления и утверждает, что они полностью предотвращают эксплуатацию. Облачные сервисы FortiClient Cloud и FortiSASE закрыты на стороне Fortinet, их клиентам ничего предпринимать не нужно.
В первую очередь серверы 7.4.5 и 7.4.6 нужно обновить или наложить исправление. Интерфейсы управления стоит убрать из прямого доступа из интернета и ограничить доверенными сетями. Журналы веб-сервера и API проверьте на необычные запросы, особенно с подделанными данными о клиентском сертификате, начиная с 31 марта 2026 года. На серверах EMS и управляемых устройствах поищите неожиданные команды, новые учётные записи администраторов и постороннее программное обеспечение. Непропатченный сервер, доступный из интернета, разумно считать потенциально скомпрометированным и запустить реагирование на инцидент.
Открытая публикация кода ускоряет массовое сканирование серверов EMS, которые видны из интернета. Пока установки версий 7.4.5 и 7.4.6 не обновлены, риск повторных атак остаётся высоким.
Ссылки
- https://github.com/Alaatk/CVE-2026-35616
- https://www.cve.org/CVERecord?id=CVE-2026-35616
- https://fortiguard.fortinet.com/psirt/FG-IR-26-099
