Krytyczna luka w FortiClient EMS wykorzystywana w atakach. Administratorzy muszą działać

Firma Fortinet w kwietniu 2026 roku załatała krytyczną lukę w swoim oprogramowaniu FortiClient Endpoint Management Server (EMS), oznaczoną jako CVE-2026-35616 z oceną CVSS 9,1. Mimo wydania poprawek, podatność wciąż jest wykorzystywana w nowych kampaniach. Jak wynika z raportu firmy Arctic Wolf, atakujący używają jej do zdalnego instalowania złośliwego oprogramowania, które kradnie dane logowania i pliki cookie z przeglądarek. Administratorzy, którzy jeszcze nie zaktualizowali systemów, powinni zrobić to niezwłocznie.

Czym jest CVE-2026-35616 i jakie stwarza zagrożenie?

Podatność CVE-2026-35616 pozwala atakującemu na zdalne wykonanie kodu na podatnym serwerze FortiClient EMS bez konieczności posiadania jakichkolwiek danych uwierzytelniających. Oznacza to, że każdy, kto zna adres IP lub nazwę domeny niezałatanego serwera, może potencjalnie przejąć nad nim kontrolę. Fortinet wydał łatki na początku kwietnia 2026 roku, ostrzegając, że luka była już wtedy wykorzystywana jako zero-day. Mimo to, jak pokazują najnowsze doniesienia, wiele organizacji wciąż nie zastosowało poprawek.

Problem jest tym poważniejszy, że FortiClient EMS pełni funkcję centralnego narzędzia do zarządzania politykami i konfiguracją dla wszystkich klientów FortiClient w organizacji. Jak zauważają badacze z Arctic Wolf, dostęp do tego serwera daje atakującym możliwość wykonania kodu na każdym zarządzanym urządzeniu końcowym. To czyni, że pojedyncza luka może prowadzić do kompromitacji całej infrastruktury IT.

Jak wyglądają ataki? Kampania z EKZ Infostealer

Firma Arctic Wolf opisała kampanię, w której atakujący wykorzystują podatność CVE-2026-35616 do wdrażania złośliwego oprogramowania typu infostealer o nazwie EKZ Infostealer. Co istotne, malware jest maskowany jako fałszywa poprawka dla Fortinet. Mechanizm ataku opiera się na skryptach PowerShell uruchamianych za pośrednictwem funkcji VPN scripting workflows w FortiClient.

„Zaobserwowany wzorzec wykonania sugeruje, że zagrożenia użyli własnej ścieżki zarządzania FortiClient, aby wypchnąć złośliwe polecenia PowerShell do zarządzanych punktów końcowych w sposób przypominający legalne operacje zarządcze” – czytamy w raporcie Arctic Wolf. Oznacza to, że atak jest trudny do wykrycia, ponieważ wykorzystuje zaufane mechanizmy administracyjne.

Zainstalowany EKZ Infostealer atakuje przeglądarki Chrome, Microsoft Edge, Firefox oraz inne oparte na silnikach Chromium i Gecko. Jego celem jest kradzież haseł, plików cookie i danych autouzupełniania. Zebrane informacje są następnie eksfiltrowane za pośrednictwem protokołu HTTP. Jak podkreślają badacze, aplikacja nie posiada wbudowanych mechanizmów kradzieży poświadczeń sieciowych – zamiast tego zapisuje dane z przeglądarek do pliku dziennika.

Kto jest zagrożony i jak się chronić?

Podatność dotyczy wszystkich wdrożeń FortiClient EMS, które nie zostały zaktualizowane do wersji zawierającej poprawkę. Amerykańska agencja CISA dodała CVE-2026-35616 do swojego katalogu znanych podatności wykorzystywanych w atakach już 6 kwietnia 2026 roku, co oznacza, że luka jest traktowana jako poważne zagrożenie dla bezpieczeństwa publicznego.

Administratorzy powinni przede wszystkim:

• Niezwłocznie zastosować poprawki wydane przez Fortinet. Firma udostępniła hotfixy na początku kwietnia.
• Sprawdzic, czy system nie został skompromitowany. Arctic Wolf zaleca przejrzenie dzienników systemowych pod kątem nietypowych działań PowerShell oraz nieznanych adresów IP.
• Monitorować ruch sieciowy pod kątem prób eksfiltracji danych przez HTTP, szczególnie z serwerów EMS.
• Wdrożyć segmentację sieci, aby ograniczyć możliwość rozprzestrzeniania się ataku w przypadku kompromitacji jednego serwera.

Warto pamiętać, że atakujący mogą wykorzystać zdobyte dane logowania do dalszych działań w sieci, w tym do ataków na inne systemy. Dlatego tak ważne jest szybkie reagowanie i weryfikacja, czy żadne konta nie zostały przejęte.

Podsumowanie i dalsze kroki

Luka CVE-2026-35616 w FortiClient EMS to poważne zagrożenie, które wciąż jest aktywnie wykorzystywane. To, że atakujący kamuflują złośliwe oprogramowanie jako legalne poprawki, pokazuje, jak ważne jest pobieranie aktualizacji wyłącznie z oficjalnych źródeł producenta. Administratorzy powinni traktować tę sprawę priorytetowo – nie tylko ze względu na ryzyko utraty danych, ale także na możliwość przejęcia kontroli nad całym środowiskiem IT. W najbliższych tygodniach warto śledzić komunikaty Fortinet oraz raporty firm bezpieczeństwa, które mogą ujawnić kolejne szczegóły dotyczące tej kampanii.