1. Een proof-of-concept (PoC) voor CVE-2026-35616, een kwetsbaarheid in Fortinet FortiClient Endpoint Management Server (EMS), is publiekelijk beschikbaar gesteld. De kwetsbaarheid, geclassificeerd door Fortinet als "improper access control" (CWE-284), maakt het voor externe gebruikers zonder geldige inloggegevens mogelijk om via speciaal opgestelde verzoeken ongeautoriseerde toegang te verkrijgen tot beveiligde API-endpoints. Dit kan leiden tot de uitvoering van ongeautoriseerde code of commando's. De ernst van de kwetsbaarheid wordt vergroot doordat EMS de uitrol van FortiClient beheert, wat potentieel toegang geeft tot een centraal beheersysteem voor endpoints.

2. De PoC is een Python-tool met een command-line interface die een doelwit en optioneel een poort accepteert. De tool is gepubliceerd op GitHub, waar ook een Python-script en instructies voor het uitvoeren ervan tegen een gespecificeerd doelwit te vinden zijn.

3. De getroffen versies van FortiClient EMS zijn 7.4.5 en 7.4.6. Versie 7.4.7 bevat de oplossing. De 7.2-versie van FortiClient EMS wordt niet beïnvloed. FortiClient Cloud en FortiSASE zijn reeds beveiligd.

4. Fortinet heeft bevestigd dat de kwetsbaarheid actief is uitgebuit.

5. Organisaties wordt aangeraden om de specifieke productversies te verifiëren, aangezien niet alle Fortinet-diensten de kwetsbaarheid delen. De belangrijkste stap is het identificeren van alle FortiClient EMS-implementaties en controleren of versies 7.4.5 of 7.4.6 draaien.

6. Beheerders wordt geadviseerd om toegang tot de EMS-beheerinterface te beperken tot vertrouwde netwerken.

7. Het is noodzakelijk om de vendor-hotfix toe te passen of te upgraden naar versie 7.4.7 of later, gevolgd door verificatie van de wijziging. Het wordt aangeraden om de instructies voor de specifieke release te volgen en de resulterende versie na onderhoud te verifiëren.

8. Daarnaast wordt geadviseerd om beschikbare logs te controleren op ongebruikelijke API-verzoeken of onverwachte wijzigingen en te zoeken naar tekenen van ongeautoriseerde activiteiten. Als de server ongepatcht bereikbaar was vanaf internet, wordt aangeraden deze prioriteit te geven bij controle.

9. Het uitvoeren van een PoC-test kan blootstelling bevestigen, maar vervangt geen patching of een bredere controle op mogelijke compromittering. Testen met de PoC mag alleen gebeuren op systemen waarvoor expliciete schriftelijke toestemming is verleend. Het wordt afgeraden de PoC uit te voeren op systemen buiten de organisatie of zonder schriftelijke autorisatie.

10. De GitHub-repository geeft geen indicatie over het aantal kwetsbare systemen of bevestigt niet of organisaties al zijn gecompromitteerd.