Fortinet : zero-day critique dans FortiClient EMS exploité

Ce qui s'est passé

Fortinet a publié en urgence un correctif pour une vulnérabilité critique affectant FortiClient EMS, sa plateforme de gestion centralisée des endpoints. Référencée CVE-2026-35616, cette faille de contournement de contrôle d'accès sur l'API, exploitable avant authentification, autorise un attaquant non authentifié à exécuter du code arbitraire via des requêtes spécialement conçues. Avec un score CVSS de 9.1 sur 10, ce FortiClient EMS zero-day figure parmi les failles les plus graves divulguées par l'éditeur cette année. Fortinet confirme une exploitation active, plusieurs incidents ayant été observés avant la publication du correctif. Le risque est d'autant plus élevé que le serveur EMS pilote l'ensemble des agents déployés sur le parc : sa compromission ouvre la voie à un déploiement de charges malveillantes à grande échelle. Les administrateurs doivent appliquer les correctifs sans délai et vérifier leurs journaux d'accès.

Selon les chercheurs de watchTowr, les premières tentatives d'exploitation ont été détectées sur leurs honeypots dès le 31 mars 2026, soit plusieurs jours avant la publication du correctif officiel. Les versions affectées sont FortiClient EMS 7.4.5 et 7.4.6, et Fortinet a diffusé un hotfix en attendant la sortie complète de la version 7.4.7.

Face à l'exploitation active confirmée, la CISA (Cybersecurity and Infrastructure Security Agency) a ajouté cette CVE à son catalogue KEV le 6 avril 2026, imposant aux agences fédérales américaines un délai de correction expirant le 9 avril 2026. Fortinet a confirmé avoir observé des exploitations en conditions réelles et presse ses clients d'appliquer le correctif immédiatement.

Pourquoi c'est important

FortiClient EMS est déployé dans des milliers d'entreprises pour gérer la sécurité des postes de travail à distance. Une compromission de cette plateforme donne potentiellement accès à l'ensemble du parc informatique géré, ce qui en fait une cible de choix pour les attaquants. La nature pré-authentification de la faille signifie qu'aucun identifiant n'est nécessaire pour l'exploiter, abaissant drastiquement la barrière d'entrée.

Fortinet accumule les vulnérabilités critiques ces derniers mois, et les produits de l'éditeur restent des cibles privilégiées des groupes APT. Les entreprises françaises utilisant FortiClient EMS doivent considérer ce correctif comme une priorité absolue, d'autant que l'ANSSI avait déjà alerté sur la recrudescence des attaques ciblant les équipements Fortinet.

Ce qu'il faut retenir

• Appliquer immédiatement le hotfix Fortinet pour FortiClient EMS 7.4.5 et 7.4.6, sans attendre la version 7.4.7.
• Vérifier les journaux d'accès API de FortiClient EMS pour détecter d'éventuelles tentatives d'exploitation depuis le 31 mars.
• Mettre en place une surveillance renforcée des équipements Fortinet et planifier une revue régulière des correctifs de sécurité.

Détails techniques de la vulnérabilité

CVE-2026-35616 résulte d'un défaut de validation dans le module de communication FCM (FortiClient Management) du service EMS, qui écoute par défaut sur le port TCP 8013. En exploitant une désérialisation incorrecte des requêtes API, un attaquant peut contourner l'authentification et injecter des commandes SQL permettant, in fine, l'exécution de code via un appel à une procédure stockée du serveur SQL sous-jacent (SQL Server Express embarqué dans EMS). Cette chaîne d'exploitation rappelle des schémas déjà observés sur d'autres CVE Fortinet critiques, comme CVE-2022-42475 (FortiOS SSL-VPN) ou CVE-2023-27997 (XORtigate), toutes deux massivement exploitées par des groupes affiliés à des opérateurs de ransomware avant même la publication de correctifs complets.

Le vecteur d'attaque ne nécessite ni identifiants valides ni interaction utilisateur : une simple requête HTTP forgée vers l'endpoint vulnérable suffit. watchTowr Labs indique que le délai entre la divulgation technique (via un correctif silencieux dans le changelog) et les premières tentatives d'exploitation en masse a été inférieur à 48 heures, un rythme désormais habituel pour les CVE touchant des équipements de périphérie exposés à Internet. Selon Shadowserver Foundation, plus de 3 800 instances FortiClient EMS restaient accessibles publiquement au 8 avril 2026, dont une part significative en Europe et en Amérique du Nord.

Comment savoir si mon FortiClient EMS a été compromis ?

Plusieurs indicateurs de compromission (IOC) permettent de détecter une exploitation de CVE-2026-35616 :

• Journaux EMS : recherchez des requêtes anormales vers /fcm/api/ avec des payloads contenant des motifs SQL suspects (xp_cmdshell, EXEC, séquences d'échappement inhabituelles).
• Processus enfants inattendus : le service FCMDaemon.exe ou le processus SQL Server ne doit normalement jamais engendrer cmd.exe, powershell.exe ou certutil.exe.
• Comptes créés récemment : vérifiez la création de comptes administrateurs locaux ou de domaine non justifiés sur le serveur hébergeant EMS.
• Connexions sortantes anormales : surveillez les flux réseau initiés depuis le serveur EMS vers des IP externes non répertoriées, souvent utilisées pour l'exfiltration ou le téléchargement d'un second stage.
• Fichiers déposés dans les répertoires temporaires du serveur EMS ou dans le dossier d'installation FortiClient, notamment des exécutables non signés.

En cas de doute, Fortinet recommande d'isoler immédiatement le serveur EMS du réseau, de capturer une image mémoire avant tout redémarrage, et de solliciter une analyse forensique dédiée avant d'appliquer le correctif — l'installation d'un patch sur un système déjà compromis ne suffit pas à éradiquer une éventuelle persistance (comptes créés, tâches planifiées, implants).

Pour approfondir

Cette vulnérabilité s'inscrit dans une tendance de fond : les équipementiers de sécurité périmétrique (Fortinet, Ivanti, Citrix, Palo Alto Networks) concentrent depuis 2023 une part croissante des CVE critiques exploitées en zero-day, précisément parce que ces produits sont conçus pour être exposés sur Internet et disposent de privilèges élevés sur le réseau interne. Le CERT-FR a publié une alerte complémentaire (CERTFR-2026-ALE-004) recommandant aux entités visées par la directive NIS 2 de considérer tout serveur FortiClient EMS non patché comme un actif à risque critique dans leur analyse de surface d'attaque.