Fortinet : faille critique FortiClient EMS exploitée

Ce qui s'est passé

Fortinet a diffusé en urgence, le week-end dernier, un correctif de sécurité destiné à colmater une vulnérabilité critique affectant FortiClient Enterprise Management Server. Référencée FortiClient EMS CVE-2026-35616, cette faille obtient un score de 9.1 sur l'échelle CVSS, un niveau de gravité qui traduit son potentiel destructeur. Le défaut réside dans le mécanisme de contrôle d'accès de l'API : un attaquant non authentifié, sans identifiant valide, peut contourner les protections d'authentification et d'autorisation, puis exécuter du code arbitraire ou des commandes système sur le serveur ciblé. La menace est d'autant plus sérieuse que l'éditeur confirme une exploitation active de la vulnérabilité par des acteurs malveillants. FortiClient EMS occupant une position centrale dans la gestion des postes de travail des entreprises, sa compromission ouvrirait un accès privilégié à l'ensemble du parc informatique administré.

Selon les chercheurs de watchTowr, les premières tentatives d'exploitation ont été enregistrées sur leurs pots de miel dès le 31 mars 2026. La fondation Shadowserver a identifié plus de 2 000 instances FortiClient EMS directement exposées sur Internet, la majorité étant localisées aux États-Unis et en Allemagne. Cette vulnérabilité fait suite à une autre faille critique récemment patchée dans FortiClient EMS (CVE-2026-21643, CVSS 9.1), elle aussi exploitée dans la nature.

La découverte est créditée à Simo Kohonen de Defused Cyber et à Nguyen Duc Anh, qui ont remonté la faille de manière responsable à Fortinet. Les versions touchées sont FortiClient EMS 7.4.5 et 7.4.6. Un hotfix est d'ores et déjà disponible, en attendant la sortie de la version 7.4.7 qui intégrera le correctif définitif.

Pourquoi c'est important

FortiClient EMS est la console de gestion centralisée utilisée par des milliers d'entreprises pour piloter le déploiement et la configuration de FortiClient sur leurs postes de travail. Une compromission de cette console offre à un attaquant un point de pivot stratégique : il peut modifier les politiques de sécurité, déployer des agents malveillants sur l'ensemble du parc, ou encore exfiltrer des données sensibles. Le caractère pré-authentification de la faille la rend particulièrement dangereuse, car aucune interaction utilisateur ni identifiant valide n'est requis pour l'exploiter.

C'est la deuxième faille critique en quelques semaines sur FortiClient EMS, ce qui soulève des questions sur la surface d'attaque de ce composant. Les organisations utilisant Fortinet doivent considérer un audit de sécurité approfondi de leurs déploiements EMS et renforcer la segmentation réseau autour de ces serveurs de gestion.

Ce qu'il faut retenir

• Appliquer immédiatement le hotfix Fortinet pour FortiClient EMS 7.4.5 et 7.4.6, sans attendre la version 7.4.7.
• Vérifier que les instances FortiClient EMS ne sont pas directement exposées sur Internet et restreindre l'accès aux seuls réseaux d'administration.
• Surveiller les logs d'accès API de FortiClient EMS pour détecter des requêtes anormales ou des tentatives de contournement d'authentification.

Un historique préoccupant pour FortiClient EMS

Cette nouvelle alerte s'inscrit dans une série continue de vulnérabilités critiques touchant les produits de gestion Fortinet depuis 2023. FortiClient EMS a déjà fait l'objet de plusieurs CVE majeures exploitées activement, dont CVE-2023-48788 (injection SQL, CVSS 9.3) et plus récemment CVE-2026-21643. Cette récurrence s'explique en partie par la surface d'attaque exposée par la console EMS : elle centralise l'authentification, la distribution de politiques et la télémétrie de milliers d'endpoints, ce qui en fait une cible de choix pour les groupes APT et les opérateurs de ransomware en quête d'un accès initial à fort effet de levier. Selon les données de Shadowserver, les secteurs les plus exposés restent l'industrie, les administrations publiques et le secteur financier, où les déploiements FortiClient EMS sont historiquement massifs pour la gestion de flottes VPN et de conformité des postes.

Vecteur d'attaque et détails techniques

La CVE-2026-35616 réside dans le composant API de FortiClient EMS, qui expose par défaut plusieurs points de terminaison de gestion sans validation suffisante des jetons d'authentification. Un attaquant peut forger une requête HTTP contenant des paramètres spécifiquement construits pour contourner la vérification du contexte d'autorisation, obtenant ainsi un accès équivalent à celui d'un administrateur EMS. Cette classe de vulnérabilité (CWE-284, Improper Access Control) est particulièrement critique lorsqu'elle est couplée à une interface exposée sur Internet, ce qui est le cas pour la majorité des 2 000 instances recensées par Shadowserver. Contrairement à une exploitation par déni de service, l'attaquant obtient ici une capacité d'exécution de commandes qui peut servir à déployer des charges malveillantes via les canaux légitimes de distribution d'agents EMS, rendant la détection plus difficile puisque le trafic malveillant emprunte les mêmes flux que les mises à jour normales.

Mesures de mitigation immédiates

• Restreindre l'accès à l'interface d'administration EMS aux seules adresses IP internes ou via VPN, en supprimant toute exposition directe sur Internet.
• Appliquer le hotfix fourni par Fortinet en attendant la version 7.4.7, disponible sur le portail de support officiel.
• Auditer les journaux d'authentification EMS depuis le 31 mars 2026, date des premières tentatives observées par watchTowr, à la recherche de requêtes API anormales ou non authentifiées.
• Vérifier l'intégrité des politiques de déploiement et des agents distribués depuis cette date pour écarter tout déploiement de charge malveillante via la console.
• Mettre en place une règle de détection IDS/IPS ciblant les signatures d'exploitation publiées par Fortinet dans son avis FG-IR associé.

Outils de vérification d'exposition

Les équipes sécurité peuvent croiser leur inventaire avec les résultats de scans externes tels que Shodan ou Censys en recherchant les bannières spécifiques au service EMS (port 8013 par défaut pour l'API de gestion). Shadowserver propose également des flux de notification aux CERT nationaux permettant d'identifier automatiquement les instances exposées associées à un périmètre IP donné, une ressource particulièrement utile pour les RSSI gérant un parc multi-sites.