CVE-2026-35616
Fortinet FortiClient EMS Improper Access Control Vulnerability
Beschreibung
CVE-2026-35616 ist eine kritische Schwachstelle in Fortinet FortiClient EMS, die durch eine fehlerhafte Zugriffskontrolle unauthentifizierten Angreifern Privilegieneskalation und Code-Ausfuehrung ermoeglicht. Ein Pre-Authentication API-Access-Bypass erlaubt es Angreifern, ohne vorherige Authentifizierung ueber manipulierte Anfragen schaedlichen Code auszufuehren. Betroffen sind FortiClient EMS Versionen 7.4.5 und 7.4.6. Mit einem CVSS-Score von 9.1 (CRITICAL) und einem EPSS-Score von 6.0 % stellt CVE-2026-35616 eine erhebliche Bedrohung dar, insbesondere angesichts ueber 2.000 exponierter Instanzen weltweit.
Die CISA hat CVE-2026-35616 am 6. April 2026 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 9. April 2026.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| fortinet | forticlientems | 7.4.5; 7.4.6 |
Referenzen
- https://fortiguard.fortinet.com/psirt/FG-IR-26-099(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-35616(US Government Resource)
Schwachstellentyp
CWE-284: Improper Access Control
CVE-2026-35616 wird unter CWE-284 (Improper Access Control) klassifiziert. Diese Schwaeche tritt auf, wenn eine Anwendung den Zugriff auf Ressourcen oder Funktionen nicht ordnungsgemaess einschraenkt, sodass nicht autorisierte Akteure Aktionen durchfuehren koennen, fuer die sie keine Berechtigung haben.
Bei CVE-2026-35616 implementiert die API von FortiClient EMS unzureichende Zugriffskontrollen, die es unauthentifizierten Angreifern ermoeglichen, Authentifizierungsmechanismen zu umgehen. Durch manipulierte API-Anfragen kann ein Angreifer die Zugriffsbeschraenkungen umgehen und Privilegien erlangen, die normalerweise authentifizierten Administratoren vorbehalten sind.
Mehr erfahren: CWE-284 — Improper Access Control
Auswirkungsanalyse
CVE-2026-35616 traegt einen CVSS v3.1-Basisscore von 9.1 (CRITICAL). Die Schwachstelle ist netzwerkbasiert mit niedriger Angriffskomplexitaet ausnutzbar und erfordert weder Authentifizierung noch Benutzerinteraktion.
Vertraulichkeit (High): Ein Angreifer erlangt unauthentifizierten Zugriff auf die FortiClient EMS-Verwaltungskonsole. Da FortiClient EMS als zentrale Verwaltungsplattform fuer Endpoint-Security-Agenten dient, kann der Angreifer Zugriff auf Konfigurationsdaten, Endpoint-Informationen, Sicherheitsrichtlinien und gespeicherte Zugangsdaten erlangen.
Integritaet (High): Ueber die Privilegieneskalation kann der Angreifer Sicherheitsrichtlinien manipulieren, schaedliche Konfigurationen auf verwaltete Endpunkte verteilen und den Schutzstatus der gesamten Endpoint-Security-Infrastruktur kompromittieren.
Verfuegbarkeit (High): Die Code-Ausfuehrung auf dem EMS-Server kann zur Unterbrechung der zentralen Endpoint-Verwaltung fuehren, wodurch Sicherheitsupdates und Richtlinienverteilung an alle verwalteten Endpunkte gestoppt werden.
Besonders besorgniserregend ist die Tatsache, dass ueber 2.000 FortiClient EMS-Instanzen oeffentlich exponiert sind, mit Schwerpunkten in den USA und Deutschland. Die Exploitation wurde bereits vor dem offiziellen Fortinet-Advisory durch das Sicherheitsunternehmen watchTowr ab dem 31. Maerz 2026 beobachtet.
Exploit-Reifegrad
CVE-2026-35616 weist eine hohe Exploit-Reife mit bestaetigter aktiver Ausnutzung auf. Die CISA hat die Schwachstelle am 6. April 2026 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 9. April 2026. Der EPSS-Score betraegt 6.0 %.
Besonders kritisch ist der zeitliche Ablauf: watchTowr hat aktive Exploitation bereits ab dem 31. Maerz 2026 erkannt — mehrere Tage bevor Fortinet am 4. April 2026 ein offizielles Advisory veroeffentlichte. Dies deutet darauf hin, dass Angreifer die Schwachstelle fruehzeitig identifiziert und ausgenutzt haben.
Die Schwachstelle wurde unabhaengig von Simo Kohonen (Defused Cyber) und Nguyen Duc Anh entdeckt. Die Pre-Authentication-Natur des Exploits und die grosse Anzahl exponierter Instanzen machen CVE-2026-35616 besonders attraktiv fuer opportunistische Angreifer. Fortinet-Produkte sind historisch hochwertige Ziele fuer staatliche Akteure und Ransomware-Gruppen.
Behebung
-
Hotfix umgehend einspielen: Fortinet hat einen Hotfix fuer FortiClient EMS 7.4.5 und 7.4.6 veroeffentlicht. Dieser Hotfix muss sofort auf allen betroffenen Instanzen installiert werden.
-
Upgrade auf FortiClient EMS 7.4.7 planen: Version 7.4.7 enthaelt den vollstaendigen Fix fuer CVE-2026-35616. Ein Upgrade sollte schnellstmoeglich durchgefuehrt werden, da der Hotfix nur eine Zwischenloesung darstellt.
-
Exponierte Instanzen absichern: FortiClient EMS-Verwaltungsoberflaechen duerfen nicht direkt aus dem Internet erreichbar sein. Beschraenken Sie den Zugriff ueber Firewall-Regeln auf autorisierte Netzwerke und verwenden Sie VPN fuer den Fernzugriff.
-
Kompromittierungsindikatoren pruefen: Untersuchen Sie EMS-Serverprotokolle auf verdaechtige API-Zugriffe seit dem 31. Maerz 2026. Achten Sie auf ungewoehnliche Authentifizierungsversuche, API-Aufrufe von unbekannten IP-Adressen und Aenderungen an Sicherheitsrichtlinien.
-
Netzwerksegmentierung ueberpruefen: Stellen Sie sicher, dass der FortiClient EMS-Server in einem separaten Verwaltungsnetzwerk platziert ist und der Zugriff nach dem Least-Privilege-Prinzip eingeschraenkt ist.
-
Endpoint-Agenten-Status validieren: Pruefen Sie nach der Behebung, ob die Sicherheitsrichtlinien auf allen verwalteten Endpunkten intakt sind und keine unautorisierten Aenderungen an der Agent-Konfiguration vorgenommen wurden.
Technische Details
CVE-2026-35616 ist eine Schwachstelle durch fehlerhafte Zugriffskontrolle in Fortinet FortiClient EMS. Die Schwachstelle betrifft die API-Schnittstelle des EMS-Servers, die einen Pre-Authentication Access-Bypass enthaelt. Ein unauthentifizierter Angreifer kann durch manipulierte API-Anfragen die Authentifizierungspruefungen umgehen und erhoeht Privilegien erlangen. Dies fuehrt zu einer Eskalation von unauthentifiziertem Zugriff zu administrativen Berechtigungen, ueber die anschliessend Code-Ausfuehrung auf dem EMS-Server moeglich ist. FortiClient EMS dient als zentrale Verwaltungsplattform fuer FortiClient Endpoint-Security-Agenten und kommuniziert mit allen verwalteten Endpunkten. Eine Kompromittierung des EMS-Servers gefaehrdet daher potenziell die gesamte Endpoint-Security-Infrastruktur einer Organisation. Betroffen sind ausschliesslich die Versionen 7.4.5 und 7.4.6. Aeltere Versionen und die korrigierte Version 7.4.7 sind nicht verwundbar.
Häufig gestellte Fragen
Wird CVE-2026-35616 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2026-35616 am 6. April 2026 in den KEV-Katalog aufgenommen. Aktive Exploitation wurde bereits ab dem 31. Maerz 2026 beobachtet — vor der Veroeffentlichung des offiziellen Fortinet-Advisories am 4. April 2026.
Welche Produkte sind von CVE-2026-35616 betroffen?
Betroffen ist Fortinet FortiClient EMS in den Versionen 7.4.5 und 7.4.6. Ein Hotfix ist verfuegbar, der vollstaendige Fix ist in Version 7.4.7 enthalten. Aeltere Versionen sind nicht betroffen.
Wie behebe ich CVE-2026-35616?
Spielen Sie umgehend den verfuegbaren Hotfix ein und planen Sie ein Upgrade auf FortiClient EMS 7.4.7. Stellen Sie sicher, dass die EMS-Verwaltungsoberflaeche nicht direkt aus dem Internet erreichbar ist. Pruefen Sie Serverprotokolle auf verdaechtige API-Zugriffe seit Ende Maerz 2026.
Wie schwerwiegend ist CVE-2026-35616?
Mit einem CVSS-Score von 9.1 (CRITICAL) und aktiver Ausnutzung vor dem offiziellen Advisory ist CVE-2026-35616 eine aeusserst kritische Schwachstelle. Die unauthentifizierte Ausnutzbarkeit und ueber 2.000 exponierte Instanzen weltweit erhoehen das Risiko erheblich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.