NETZWERK-SCHOCK für alle Fortinet-Nutzer! Eine kritische Sicherheitslücke zerreißt die Fortinet-Welt! Der FortiClient Enterprise Management Server (EMS) hat eine Lücke, die Hackern unauthentifizierte Remote Code Execution erlaubt!
CVSS 9.1, AKTIV ausgenutzt – und ÜBER 2.000 Server sind weltweit öffentlich erreichbar! Ein gefundenes Fressen für Angreifer!
WAHNSINN: Was ist FortiClient EMS?
Fortinet FortiClient EMS ist die zentrale Verwaltungsplattform für FortiClient-Endpoint-Lösungen! Admins nutzen sie für:
- Endpoint-Sicherheitsrichtlinien verwalten!
- VPN-Konfigurationen ausrollen!
- Sicherheitsstatus von Endgeräten überwachen!
Besonders in KMUs und Mittelständlern ist EMS weit verbreitet! Typisch: Ein Server verwaltet Hunderte bis Tausende Endpoints!
Das Fatale: Wer den EMS-Server kompromittiert, hat potenziellen Zugriff auf ALLE angebundenen Geräte, kann Sicherheitsrichtlinien manipulieren und VPN-Zugänge missbrauchen!
SCHOCK: So brutal ist CVE-2026-35616!
CVE-2026-35616 ist eine Improper Access Control-Schwachstelle (CWE-284) in der FortiClient-EMS-API!
So funktioniert der Angriff:
- Angreifer sendet speziell präparierte HTTP-Anfragen!
- Authentifizierungs- und Autorisierungsprüfungen werden KOMPLETT umgangen!
- OHNE gültige Zugangsdaten, OHNE Benutzerinteraktion!
- Ergebnis: Vollständige Remote Code Execution auf dem Server!
- Der Angreifer bekommt administrative Kontrolle – und damit Zugang zu allen verwalteten Endpoints!
Betroffene Versionen:
- FortiClient EMS 7.4.5!
- FortiClient EMS 7.4.6!
Alle anderen Versionen sind nach aktuellem Kenntnisstand sicher!
UNFASSBARER ZEITSTRAHL: So schnell eskalierte alles!
- 31. März 2026: watchTowr-Sensoren registrieren erste aktive Ausnutzung – VOR der offiziellen Veröffentlichung!
- 4. April 2026: Fortinet bringt Security Advisory (FG-IR-26-099) und Notfall-Hotfix!
- 6. April 2026: CISA nimmt CVE in den Known Exploited Vulnerabilities Catalog auf!
- 9. April 2026: Pflicht-Patchdeadline für US-Bundesbehörden!
Shadowserver meldet: Über 2.000 FortiClient EMS-Instanzen sind öffentlich im Internet erreichbar! Ein Albtraum!
WARUM sind so viele Systeme OFFEN?
Die Gründe sind schockierend banal:
- Remote-Access-Szenarien: Admins brauchen Fernzugriff – und öffnen das Admin-Panel ohne vorgelagerten VPN!
- Fehlkonfiguration bei der Ersteinrichtung: Installationsanleitungen öffnen den Management-Port OHNE Absicherungs-Hinweis!
- Vernachlässigte Management-Planes: Produktiv-Server werden gesichert, Management-Systeme als unkritisch eingestuft – FATAL!
- Fehlende Netzwerksegmentierung: In vielen KMUs gibt’s KEIN dediziertes Management-Netzwerk!
SOFORT HANDELN: So rettest du dein System!
DIESE SCHRITTE SOFORT abarbeiten:
- Version prüfen! Über das EMS-Admin-Panel unter
About! - Auf 7.4.7 oder neuer aktualisieren!
- Falls Update nicht sofort möglich: Netzwerk-Zugriff zum EMS-Management-Port SPERREN (Firewall!)!
- Audit-Logs prüfen: Verdächtige API-Calls seit dem 31. März dringend untersuchen!
- Alle verwalteten Endpoints auf Auffälligkeiten scannen!
BONUS: Langfristige Härtung!
NIEMALS wieder solche Katastrophe! Diese vier Goldregeln:
- Management-Planes hinter VPN – NIEMALS direkt ins Internet!
- Netzwerksegmentierung – eigenes Management-VLAN!
- Zero-Trust – selbst interne Admins brauchen MFA!
- Shadowserver Subscription – kostenloser Dienst, der dich warnt, wenn deine IPs öffentlich exponiert sind!
FAZIT: Der Management-Server ist DAS Kronjuwel!
Knallhart: Wer sein FortiClient EMS ungeschützt im Internet hat, spielt russisches Roulette! Die Lücke ist seit Wochen aktiv – jede Stunde ohne Patch kann die letzte sein!
Mein Rat: JETZT die Version prüfen, sofort patchen, dauerhaft hinter VPN verstecken!
Auf Lapalutschi.de kommt bald der große Management-Plane-Härtungs-Guide – bleib dran!