FortiClient EMS : deux failles 9.1 exploitées dès mars 2026

Les faits

Fortinet a publié début avril deux correctifs hors cycle pour FortiClient EMS, la plateforme de gestion centralisée des endpoints VPN et ZTNA déployée dans des milliers d'entreprises. La première brèche, FortiClient EMS CVE-2026-35616 (CVSS 9.1), est un défaut de contrôle d'accès signalé par Simo Kohonen de Defused Cyber et Nguyen Duc Anh : un attaquant non authentifié peut exécuter du code arbitraire via des requêtes API forgées, prenant le contrôle du serveur d'administration sans aucun identifiant valide. La seconde vulnérabilité, de sévérité équivalente, ouvre une voie d'escalade de privilèges vers les postes clients enrôlés. Les deux failles sont activement exploitées depuis mars 2026 selon plusieurs éditeurs de threat intelligence, ce qui impose un correctif immédiat et une recherche rétroactive de compromission sur l'ensemble des consoles exposées.

La seconde faille, CVE-2026-21643 (CVSS 9.1), est une injection SQL également exploitée activement depuis le 24 mars 2026 selon Defused Cyber. La CISA l'a ajoutée au KEV le 13 avril 2026 avec une échéance au 16 avril, désormais dépassée pour les agences fédérales en retard. Les deux vulnérabilités touchent les versions 7.4.5 et 7.4.6 de FortiClient EMS, et seront définitivement corrigées dans la version 7.4.7 attendue prochainement. Les hotfixes intermédiaires s'appliquent sans interruption de service, ce qui élimine l'argument fenêtre de maintenance souvent invoqué pour repousser les patchs critiques.

Impact et exposition

FortiClient EMS pilote l'enrôlement et la conformité des endpoints VPN/ZTNA pour de nombreuses entreprises. Une compromission permet à l'attaquant d'injecter ses propres profils de connexion, d'extraire les certificats clients ou de pivoter vers les actifs internes via le tunnel chiffré. Les MSP qui hébergent une instance EMS multi-tenant exposent l'ensemble de leurs clients à un risque latéral si le serveur est compromis, scénario déjà observé en 2024 avec d'autres consoles centralisées de sécurité.

Recommandations

• Appliquer immédiatement les hotfixes FortiClient EMS 7.4.5 et 7.4.6 publiés par Fortinet
• Restreindre l'accès à la console EMS au réseau de management uniquement (segmentation stricte)
• Auditer les profils VPN/ZTNA créés depuis le 24 mars 2026 et révoquer les certificats suspects
• Activer la journalisation API exhaustive et corréler avec votre SIEM

Pour situer ces failles dans le paysage des outils de sécurité compromis : notre dossier les outils de sécurité comme risque principal, ainsi que l'analyse du risque systémique des fournisseurs uniques. Pour durcir vos infrastructures, consultez notre guide PKI d'entreprise et le dossier Active Directory durci.

Précédents et contexte sectoriel

FortiClient EMS n'en est pas à sa première alerte critique : la console avait déjà été frappée par CVE-2023-48788, une injection SQL similaire touchant l'API SQL Server intégrée, exploitée massivement fin 2023 puis réutilisée par des groupes affiliés à des opérateurs de ransomware pour l'accès initial. Le schéma se répète en 2026 : une fenêtre d'exploitation active constatée avant même la publication du correctif, une inscription rapide au catalogue KEV de la CISA, puis une généralisation des tentatives d'intrusion une fois le détail technique de la faille documenté publiquement. Les consoles de gestion centralisée d'endpoints — EMS, mais aussi les équivalents chez d'autres éditeurs — restent une cible de choix car elles combinent accès réseau étendu, droits d'administration sur le parc et exposition fréquente sur des interfaces de management insuffisamment cloisonnées. watchTowr, qui a repéré les premières sondes contre CVE-2026-35616 dès le 31 mars, souligne que le délai entre la découverte silencieuse d'une faille et son exploitation opportuniste s'est encore réduit : moins d'une semaine sépare généralement la divulgation d'un correctif Fortinet de l'apparition de scans automatisés ciblant les instances non patchées, un rythme cohérent avec les campagnes observées sur les précédentes CVE FortiOS et FortiManager en 2024-2025.

Détails techniques des vecteurs d'attaque

CVE-2026-35616 repose sur un contrôle d'accès défaillant au niveau de l'API de gestion d'EMS : une requête forgée sans authentification préalable permet d'atteindre des points de terminaison normalement réservés aux clients enrôlés, ouvrant la voie à l'exécution de commandes avec les privilèges du service EMS lui-même — généralement SYSTEM sur l'hôte Windows hébergeant la console. CVE-2026-21643 exploite quant à elle une construction de requête SQL non paramétrée dans un composant de l'API accessible avant authentification, permettant l'extraction ou la modification de données en base (comptes, profils de connexion, jetons de certificats) sans identifiants valides. Les deux chaînes d'attaque partagent un point commun critique : elles ne nécessitent aucune interaction utilisateur ni accès VPN préalable, seule une atteinte réseau vers le port de management EMS (par défaut TCP 8013 pour l'API REST) suffit.

Décomposition CVSSv3.1

• CVE-2026-35616 — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H : vecteur réseau, complexité faible, aucun privilège ni interaction requis, impact total sur confidentialité, intégrité et disponibilité
• CVE-2026-21643 — profil équivalent côté injection SQL, avec un impact concentré sur la confidentialité et l'intégrité des données stockées en base EMS (comptes, secrets de connexion)

Mesures de détection complémentaires

• Auditer les journaux EMS (FCTEMS64.log, journaux IIS/API) à la recherche de requêtes API anormales antérieures au 31 mars 2026
• Surveiller la création de comptes ou profils de connexion EMS non initiés par un administrateur connu
• Corréler les alertes EDR sur le serveur hébergeant EMS avec des exécutions de processus inhabituelles issues du service EMS
• Vérifier l'absence d'exposition directe du port de management EMS sur Internet via un scan externe