CVE-2026-35616 : zero-day critique dans FortiClient EMS

Les faits

Fortinet a publié le 4 avril 2026 un correctif d'urgence hors cycle pour une vulnérabilité critique dans FortiClient Enterprise Management Server. Référencée CVE-2026-35616 avec un score CVSS de 9.1, cette faille de type CWE-284 (contrôle d'accès inapproprié) permet à un attaquant non authentifié de contourner les mécanismes d'authentification et d'autorisation de l'API pour exécuter du code arbitraire via des requêtes spécialement forgées. La vulnérabilité a été découverte par Simo Kohonen de Defused Cyber et Nguyen Duc Anh, qui l'ont signalée de manière responsable à Fortinet. Selon les chercheurs de watchTowr, les premiers honeypots ont enregistré des tentatives d'exploitation dès le 31 mars 2026, soit plusieurs jours avant la publication officielle du correctif, confirmant le statut de zero-day de cette vulnérabilité. Le CISA a réagi rapidement en ajoutant CVE-2026-35616 à son catalogue KEV (Known Exploited Vulnerabilities) le 6 avril 2026, imposant aux agences fédérales américaines un délai de correction au 9 avril. Cette chronologie extrêmement serrée témoigne de la gravité de la menace et de l'urgence du déploiement des correctifs pour toutes les organisations utilisant FortiClient EMS.

FortiClient EMS est un outil de gestion centralisée largement déployé dans les entreprises pour administrer les agents FortiClient sur l'ensemble du parc. Une compromission de ce composant donne potentiellement accès à la gestion de tous les postes de travail protégés par FortiClient, ce qui en fait une cible de choix pour les attaquants. Ce n'est pas la première fois que Fortinet fait face à des attaques ciblant sa chaîne logicielle et ses produits de sécurité. Les organisations qui dépendent de l'écosystème Fortinet doivent considérer ce type de vulnérabilité comme un risque systémique majeur nécessitant une stratégie de sécurité proactive.

Impact et exposition

Toutes les organisations utilisant FortiClient EMS versions 7.4.5 et 7.4.6 sont directement exposées. L'exploitation ne nécessite aucune authentification préalable, ce qui signifie que tout FortiClient EMS accessible depuis le réseau — et a fortiori depuis Internet — peut être compromis. Une exploitation réussie permet l'exécution de code avec les privilèges du service EMS, ouvrant la voie à une prise de contrôle complète du serveur de gestion et, par extension, de l'ensemble des endpoints administrés. Les secteurs les plus exposés sont ceux qui utilisent massivement FortiClient en environnement distribué : santé, éducation, services managés et administrations. Le fait que l'exploitation soit active depuis fin mars signifie que certaines organisations ont potentiellement déjà été compromises sans le savoir. Comme observé récemment avec d'autres vulnérabilités critiques sur des appliances réseau, les attaquants ciblent systématiquement les outils de gestion centralisée pour maximiser leur impact.

Recommandations

• Appliquer immédiatement le hotfix Fortinet pour FortiClient EMS 7.4.5 et 7.4.6 — ne pas attendre la version 7.4.7
• Vérifier les logs d'accès API de FortiClient EMS pour toute requête suspecte depuis le 31 mars 2026
• Restreindre l'accès réseau à l'interface d'administration EMS aux seules adresses IP autorisées
• Rechercher des indicateurs de compromission (connexions inhabituelles, comptes créés, modifications de politique)
• Surveiller les publications Fortinet pour la sortie de la version 7.4.7 avec le correctif définitif