Fortinet FortiClient EMS (Endpoint Management Server) · Elusión de autenticación en la API explotada como 0-day

Cuando el servidor que se encarga de proteger y administrar todos los ordenadores de una empresa es, precisamente, la puerta por la que entra el atacante, el problema deja de ser de un equipo para convertirse en un problema de toda la red. Eso es lo que describe CVE-2026-35616, un fallo crítico en Fortinet FortiClient EMS que ya se está explotando en ataques reales para instalar un programa de robo de credenciales camuflado como una actualización legítima del propio fabricante.

Descripción

Qué es y a quién afecta

FortiClient EMS (Endpoint Management Server, «servidor de gestión de puestos de trabajo») es la consola con la que una organización administra de forma centralizada los agentes FortiClient instalados en sus ordenadores: despliega políticas, configura el acceso VPN y distribuye actualizaciones. Al ser una plataforma central, cualquiera que la controle tiene un pie en todos los equipos que gestiona.

La vulnerabilidad es un fallo de control de acceso impropio (clasificado como CWE-284, la categoría estándar que agrupa los fallos en los que un sistema no restringe correctamente quién puede hacer qué). En términos de Fortinet, se trata de una «elusión de autenticación y autorización en la API» (la API es la interfaz por la que otros programas envían órdenes al servidor). En la práctica, permite a un atacante sin credenciales y de forma remota enviar peticiones manipuladas que el servidor atiende como si vinieran de un administrador legítimo.

Versiones afectadas

Según el aviso oficial FG-IR-26-099:

• FortiClient EMS 7.4.5 y 7.4.6: afectadas.
• FortiClient EMS 7.4.7 o superior: corregida.
• Ramas 7.2 y 8.0: no afectadas.
• FortiClient Cloud y FortiSASE: Fortinet ya aplicó la corrección en su lado; el cliente no tiene que hacer nada.

Afecta, por tanto, a organizaciones que ejecutan su propia instancia de FortiClient EMS (modo autoalojado) en las versiones indicadas, con especial urgencia si la consola está expuesta a Internet.

Mecánica

Cómo funciona el ataque

El fallo es el punto de entrada; el daño llega por la cadena que se despliega a partir de él. La investigación de Arctic Wolf reconstruye así la secuencia:

1. Acceso sin autenticar. El atacante envía peticiones HTTP manipuladas a ciertos puntos de la API de EMS. Sin credenciales válidas, el servidor las procesa como acciones administrativas.
2. Toma de control de la consola. En cuestión de horas se observaron inicios de sesión desde nodos de salida de la red Tor. El atacante alteró parámetros internos y, sobre todo, editó el Remote Access Profile (el perfil de acceso remoto) y las políticas de endpoint para insertar un script malicioso.
3. Ejecución en los equipos vía VPN. FortiClient admite directivas como on_connect y script que se ejecutan automáticamente cuando se levanta el túnel VPN. Es una función legítima de automatización; en manos del intruso, sirve para lanzar código en cada puesto que conecta. Segundos después de establecerse un túnel IPsec, el binario legítimo fortitray.exe (o ipsec.exe) lanzaba ficheros .cmd a través de cmd.exe.
4. Descarga del payload. El .cmd arrancaba un script de PowerShell codificado en Base64 que descargaba y ejecutaba el programa malicioso. La exfiltración (el envío de los datos robados al exterior) la hace el propio script por HTTP, no el ejecutable.

La secuencia de procesos característica es: fortitray.exe/ipsec.exe → cmd.exe → powershell.exe → FortiEndpoint_Patch.exe.

El malware: «EKZ Infostealer»

El payload es un infostealer (literalmente «ladrón de información»): un programa que recopila datos sensibles del equipo y los envía al atacante. Arctic Wolf lo bautizó EKZ Infostealer; se distribuye disfrazado de parche de Fortinet (FortiEndpoint_Patch.exe). Roba contraseñas guardadas, cookies de sesión y datos de autocompletado —incluidos números de tarjeta, direcciones y teléfonos— tanto de navegadores basados en Chromium (Chrome, Edge…) como en Gecko (Firefox). Las cookies de sesión son especialmente delicadas porque pueden permitir reutilizar sesiones ya iniciadas sin necesidad del segundo factor de autenticación.

Respuesta del creador

Respuesta del fabricante y de las autoridades

Fortinet publicó el aviso FG-IR-26-099 el 4 de abril de 2026, reconociendo expresamente que el fallo «se ha observado explotado de forma activa» (exploited in the wild). La vulnerabilidad se reportó a Fortinet el 31 de marzo de 2026, ya en el contexto de ataques reales, por lo que se trató de un 0-day (fallo aprovechado antes de existir corrección). El fabricante acredita el hallazgo a Simo Kohonen (Defused) y Nguyen Duc Anh.

La agencia estadounidense CISA incorporó CVE-2026-35616 a su catálogo de vulnerabilidades explotadas conocidas (Known Exploited Vulnerabilities, KEV) el 6 de abril de 2026, con fecha límite de corrección para las agencias federales el 9 de abril de 2026. La inclusión en KEV es una señal fiable de que la explotación no es teórica.

La campaña del infostealer fue documentada por Arctic Wolf Labs en mayo de 2026, que publicó indicadores de compromiso para su detección.

Parches y mitigaciones

Qué hacer ya

La corrección está disponible. Fortinet recomienda, por orden de prioridad:

1. Actualizar a FortiClient EMS 7.4.7 o superior, que ya incluye la corrección.
2. Si no es posible actualizar de inmediato, aplicar el hotfix publicado para las versiones 7.4.5 y 7.4.6 siguiendo las notas de la versión; según Fortinet, «es suficiente para prevenirlo por completo».

Quienes usen FortiClient Cloud o FortiSASE no necesitan actuar: Fortinet ya corrigió esos servicios.

Mitigaciones y búsqueda de compromiso

Dado que hay explotación activa, no basta con parchear: conviene verificar que la consola no haya sido ya manipulada.

• Inventariar las instancias de EMS y empezar por las expuestas a Internet; restringir el acceso a la consola de administración (p. ej. el puerto 8013) a redes de confianza.
• Revisar cambios no autorizados en el Remote Access Profile, en las políticas de endpoint y en las configuraciones de VPN, sobre todo scripts nuevos o modificados.
• Vigilar ejecuciones anómalas de cmd.exe, ficheros .cmd y PowerShell lanzados por componentes de FortiClient; y buscar artefactos con nombres engañosos como FortiEndpoint_Patch.exe.
• Buscar en los registros la cadena Certificate not found in request header, señalada como pista de los intentos de explotación.
• Tratar como incidente en curso cualquier indicio de administración sospechosa: cuentas creadas sin control, inicios de sesión desde orígenes inusuales (nodos Tor) o cambios no planificados.

Si se confirma compromiso, hay que asumir que pudieron robarse credenciales y cookies de los equipos afectados: rotar contraseñas e invalidar sesiones. Para las organizaciones sujetas al RGPD, un robo de datos personales de este tipo puede constituir una brecha de seguridad con obligación de notificación a la autoridad de control en un plazo de 72 horas.

Fuentes

• Fortinet PSIRT – FG-IR-26-099: API authentication and authorization bypass (CVE-2026-35616)
• Arctic Wolf Labs – FortiClient EMS Exploited via CVE-2026-35616 to Deliver EKZ Infostealer Disguised as a Fortinet Patch
• NVD – CVE-2026-35616
• CISA – Known Exploited Vulnerabilities Catalog
• Security Affairs – U.S. CISA adds a flaw in Fortinet FortiClient EMS to its Known Exploited Vulnerabilities catalog
• SecurityWeek – Critical FortiClient EMS Vulnerability Exploited in Fresh Attacks
• The Hacker News – Threat Actors Exploit Critical FortiClient EMS Flaw to Deploy Credential Stealer
• BleepingComputer – Hackers exploit FortiClient EMS flaw to push infostealer malware
• Help Net Security – New infostealer reaches enterprise devices through FortiClient EMS vulnerability
• Hispasec – Una al Día: Atacantes explotan un fallo crítico en FortiClient EMS