Ein nicht authentifizierter Angreifer aus dem Netz kann die API-Zugriffskontrolle des zentralen FortiClient-EMS-Management-Servers vollständig umgehen und darüber Code bzw. Befehle ausführen. Über manipulierte Bereitstellungsprofile lassen sich Schadskripte an alle verwalteten Endpunkte ausspielen – aktuell genutzt, um den EKZ-Infostealer getarnt als Fortinet-Patch zu verteilen. Als Zero-Day seit Ende März 2026 ausgenutzt.
Advisory als PDF herunterladenFortiClient EMS prüft bei bestimmten API-Aufrufen die Authentifizierung und Autorisierung unzureichend (CWE-284, Improper Access Control). Speziell präparierte Anfragen umgehen die Zugriffskontrolle vollständig, sodass ein nicht authentifizierter Angreifer privilegierte Funktionen aufrufen und Code bzw. Befehle auf dem Management-Server ausführen kann. Da EMS die verwalteten Endpunkte steuert, wirkt eine Kompromittierung des Servers auf die gesamte Client-Flotte.
| FortiClient-EMS-Zweig | Verwundbar | Fixversion |
|---|---|---|
| 7.4 | 7.4.5 – 7.4.6 | 7.4.7 / Hotfix |
| 8.0 | nicht betroffen | — |
| 7.2 und älter | nicht betroffen | — |
| Cloud · FortiSASE | bereits gepatcht | keine Aktion nötig |
Betroffen sind ausschließlich die On-Prem-Versionen 7.4.5 und 7.4.6. Fortinet hat Hotfixes für beide Zweige bereitgestellt; die finale Korrektur folgt mit dem angekündigten Release 7.4.7. Cloud- und FortiSASE-Instanzen sind bereits herstellerseitig gepatcht. Exakten Hotfix-Build gegen das Hersteller-Advisory abgleichen.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff oder Abfluss von Zugangsdaten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Exposition kappen vor Patch, Patch vor Entwarnung.
7.4.5 und 7.4.6 sind angreifbar; 7.2 und älter sowie 8.0 nicht. Zusätzlich klären, ob die EMS-Verwaltungsschnittstelle aus dem Internet erreichbar ist – das erhöht die Dringlichkeit erheblich.7.4.5 bzw. 7.4.6) einspielen oder auf 7.4.7 aktualisieren, sobald verfügbar. Build-Nummer gegen FG-IR-26-099 abgleichen.FortiEndpoint_Patch.exe, das Skript-Verzeichnis und log.txt. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.FortiEndpoint_Patch.exe · Download p.exe0da123adf9251957a4b850a3f6bd6a753dd4892be176a84a18450e899534cc5e83.138.53.110 (Delivery + Exfil)185.220.101.15 · 192.42.116.14hxxp://83.138.53.110/dl/p.exehxxp://83.138.53.110/service/save.phpC:\Program Files\Fortinet\FortiClient\logs\Trace\scripts\C:\ProgramData\log.txt (Staging der Zugangsdaten)Zur Einordnung: IPs, URLs und Dateinamen sind eine Momentaufnahme der beobachteten EKZ-Kampagne und flüchtig – kein Ersatz für die Prüfung Ihrer EMS-Bereitstellungsprofile und Endpunkt-Logs. Der zuverlässigste Frühindikator sind unerwartete Änderungen an Remote-Access-/Deployment-Profilen und daraus ausgelöste PowerShell-Downloads.
Wichtig: Weil EMS Code an die verwalteten Endpunkte ausspielt, breitet sich eine Server-Kompromittierung auf die gesamte Client-Flotte aus. Die Schadsoftware kommt getarnt als legitimer Fortinet-Patch (FortiEndpoint_Patch.exe) – Nutzer schöpfen keinen Verdacht.
Fortinet PSIRT Advisory FG-IR-26-099 (CVE-2026-35616) · NVD · CISA Known Exploited Vulnerabilities Catalog · Arctic Wolf Labs · BleepingComputer · watchTowr. Angaben nach bestem Wissen zum Stand 14.07.2026; Hotfix-Builds und die finale Fixversion 7.4.7 gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Unerwartete Änderungen an Bereitstellungsprofilen und daraus ausgelöste PowerShell-Downloads auf Endpunkten. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Auf verwalteten Endpunkten lässt sich eine Ausnutzung nachgelagert erkennen und eingrenzen, auch wenn der Patch noch nicht überall ausgerollt ist.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.