Компанія Fortinet, провідний постачальник рішень у сфері кібербезпеки, випустила термінові позапланові оновлення для усунення критичної вразливості у своєму продукті FortiClient EMS (Endpoint Management Server). За повідомленням Fortinet, ця вразливість вже активно експлуатується в реальних умовах, що робить її пріоритетною загрозою для всіх користувачів.
Виявлена вразливість отримала ідентифікатор CVE-2026-35616 та має надзвичайно високий показник CVSS 9.1, що класифікує її як критичну. Вона описується як обхід доступу до API на етапі попередньої автентифікації (pre-authentication API access bypass), який дозволяє зловмисникам здійснити підвищення привілеїв (privilege escalation).
Суть проблеми полягає в неналежному контролі доступу (CWE-284) у FortiClient EMS. Це дозволяє неавторизованому користувачеві або зловмиснику отримати несанкціонований доступ до функцій API, що зазвичай вимагають автентифікації, і потенційно отримати повний контроль над системою.
Загроза стосується всіх організацій та користувачів, які використовують програмне забезпечення FortiClient EMS. Оскільки вразливість є пре-автентифікаційною, зловмисникам не потрібні облікові дані для її експлуатації, що значно розширює коло потенційних жертв. Активна експлуатація в "дикій природі" означає, що атаки вже відбуваються, і незахищені системи перебувають під безпосередньою загрозою компрометації.
- Негайне оновлення: Усім адміністраторам FortiClient EMS необхідно негайно застосувати всі доступні позапланові оновлення безпеки, випущені Fortinet. Це є найважливішим кроком для захисту від цієї вразливості.
- Моніторинг систем: Рекомендується провести перевірку систем на наявність ознак компрометації, особливо якщо оновлення не були встановлені своєчасно. Звертайте увагу на незвичайну активність або несанкціонований доступ.
- Застосування принципів мінімальних привілеїв: Переконайтеся, що всі користувачі та процеси працюють з мінімально необхідними привілеями.
- Сегментація мережі: Ізолюйте критичні системи, щоб обмежити потенційний збиток у разі успішної атаки.