LONDON (IT BOLTWISE) – Eine kritische Schwachstelle in FortiClient Endpoint Management Server (EMS) wird bereits aktiv ausgenutzt, um Informationen stehlende Malware auf ungepatchten Systemen zu platzieren. Unter der CVE-2026-35616 (CVSS 9,1) ist ein Remote-Code-Execution-Angriff über speziell präparierte HTTP-Requests möglich – ohne Authentifizierung. Angreifer tarnen Payloads offenbar als legitime Fortinet-Updates und nutzen dabei Mechanismen, die die Verwaltungsschicht selbst missbrauchen. Betroffene sollten Hotfixes für FortiClient EMS 7.4.5 und 7.4.6 umgehend installieren, da auch CISA die Lücke in KEV gelistet hat.
FortiClient EMS rückt erneut ins Zentrum von Incident-Reports: Für die Schwachstelle CVE-2026-35616 wurde bereits im Wild-Betrieb beobachtet, dass Angreifer ungepatchte Installationen mit präparierten HTTP-Requests ansteuern. Die Besonderheit liegt in der Kombination aus hoher Schwere und niedriger Eintrittshürde: Laut Meldungen gelingt die Ausnutzung remote, ohne dass ein gültiger Authentifizierungsnachweis erforderlich ist. Der CVSS-Wert von 9,1 deutet auf ein erhebliches Risiko für betroffene Unternehmen hin, insbesondere wenn EMS als zentrale Management-Komponente in einer größeren Endpoint-Flotte agiert und damit viele Systeme indirekt „mitzieht“.
Technisch handelt es sich um ein Improper-Access-Control-Problem (CWE-284). Das bedeutet: Die Zugriffsprüfung auf bestimmte API-Endpunkte ist unzureichend, sodass ein Angreifer die Annahme „legitimer administrativer Aktionen“ ausnutzen kann. Konkret reicht das Senden specially crafted HTTP Requests an definierte EMS-Endpunkte, die nach der Logik des Servers verarbeitet werden, als wären sie autorisierte Verwaltungsbefehle. Ab diesem Zeitpunkt können Angreifer Funktionen des Management-Systems anstoßen, die normalerweise nur nach privilegierter Anmeldung verfügbar sind. Diese Art Fehler ist besonders gefährlich, weil sie Authentifizierung nicht „umgeht“, sondern die Autorisierungslogik an der richtigen Stelle gar nicht korrekt absichert.
Wie in dem beschriebenen Angriffsszenario weiter deutlich wird, nutzen die Täter die Verwaltungsebene, um Schadcode in die Umgebung einzuschleusen. In May 2026 wurden Angriffe beobachtet, die Systeme anvisieren, die von FortiClient EMS verwaltet werden. Ein berichteter Fall nennt eine als „Fortinet endpoint update“ getarnte Payload, die tatsächlich den Credential-Stealer „EKZ Infostealer“ ausliefert. Der Datendiebstahl zielt dabei auf Browser-Informationen; anschließend werden Credentials in Logdateien abgelegt und über HTTP exfiltriert. Für Verteidiger ist daran weniger die konkrete Malware als vielmehr der Mechanismus entscheidend: Die Täter missbrauchen offenbar die eigenen Management-Funktionen, um bösartige PowerShell-Kommandos in die verbundenen Endpoints zu drücken und so die Angriffsfläche systemisch zu skalieren.
Fortinet hatte bereits im April Out-of-band-Fixes bereitgestellt, nachdem eine aktive Ausnutzung bestätigt wurde. Für Administratoren mit FortiClient EMS 7.4.5 und 7.4.6 gilt damit eine klare Priorität: Hotfixes zeitnah einspielen und anschließend die betroffenen Management- und Endpoint-Gruppen verifizieren, ob verdächtige PowerShell-Ausführungen oder ungewöhnliche HTTP-Exfiltrationen stattgefunden haben. Der dauerhafte Fix soll in Version 7.4.7 enthalten sein. Diese zeitliche Staffelung zeigt ein typisches Muster bei Exploit-Lücken mit hoher Ausnutzbarkeit: Zuerst werden Sofortmaßnahmen bereitgestellt, parallel werden Logikfehler in nachfolgenden Releases dauerhaft bereinigt. Zusätzlich hat die US-Behörde CISA die CVE-2026-35616 in den Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen, was bei vielen Organisationen die ohnehin schon strengen Patch-Fristen weiter verschärft.
Im Markt entsteht dadurch ein klarer Wettbewerbsdruck entlang mehrerer Linien: Endpoint-Schutzanbieter und SIEM-/XDR-Ökosysteme müssen nicht nur Schadsoftware erkennen, sondern auch Missbrauch von Management-APIs und lateralem „Push“-Verhalten. Branchenexperten verweisen in solchen Fällen häufig darauf, dass klassische Signaturen zu spät greifen, wenn Angreifer legitime Verwaltungsmechanismen als Transportkanal verwenden. In der Praxis sollten Teams deshalb stärker auf Verhaltenssignale achten: untypische PowerShell-Commandlines, ungewöhnliche API-Calls gegen EMS-Endpunkte sowie Ausreißer bei Netzwerkflüssen Richtung Exfiltrationsziele. Vergleichbar positionieren sich viele Hersteller von XDR-Lösungen wie Microsoft Defender for Endpoint oder Anbieter im Netzwerk- und Logikschutz, die solche Muster in Telemetrie korrelieren. Auch hier gilt: Je früher Management-plane-Aktivität überwacht wird, desto besser lässt sich der Schaden begrenzen.
Regulatorisch und datenschutzseitig trifft die Meldung ohnehin auf erhöhte Aufmerksamkeit, weil Credential-Theft und Exfiltration in der Regel personenbezogene Daten oder zumindest sicherheitsrelevante Identitätsinformationen betreffen. Selbst wenn „nur“ Browserdaten kompromittiert werden, können daraus Session-Tokens, gespeicherte Anmeldedaten oder Nutzerinformationen entstehen, die datenschutzrechtliche Pflichten auslösen. In der Unternehmenspraxis wird deshalb oft eine Kombination erwartet: Patch-Management nach Sicherheitsstandards, forensische Auswertung relevanter Logs sowie dokumentierte Risiko- und Meldeprozesse. Durch die KEV-Listung sinkt zudem die Toleranz für Verzögerungen, insbesondere in regulierten Branchen wie Finanzdienstleistungen oder Gesundheit. Damit wird aus der technischen Lücke sehr schnell ein Governance-Thema.
Mit Blick auf die Zukunft dürfte CVE-2026-35616 vor allem eins verstärken: die Notwendigkeit, Management-Server als kritische Vertrauensanker zu behandeln. Historisch wurden viele Endpoint-Management-Angriffe dadurch möglich, dass Admin-APIs oder Integrationsschnittstellen zu breit abgesichert wurden oder Authentifizierungs- und Autorisierungslogik auseinanderliefen. Sicherheitsprogramme werden sich daher stärker auf „API Hardening“, segmentierte Netzwerkzonen und restriktive Zugriffskontrollen fokussieren müssen. Eine praktische Konsequenz für Entwicklerteams ist zudem, dass AuthZ-Entscheidungen (Authorization) testbar und beweisbar sein sollten: Unit-Tests, Fuzzing und Regression-Checks für ungewöhnliche Request-Varianten können Fehler wie CWE-284 früher sichtbar machen. Wenn Angreifer nämlich serverseitig „legitime“ Pfade ausnutzen, helfen reine Perimeter-Abwehrmaßnahmen oft nicht mehr allein.
Für betroffene Organisationen lautet die kurzfristige Empfehlung dennoch schlicht: Hotfixes installieren, Rollback- und Verifikationspläne bereithalten und die betroffenen EMS-Instanzen sowie die verwalteten Endpoints aktiv nach Anzeichen von EKZ Infostealer oder entsprechenden Ausführungsmustern untersuchen. Für die mittelfristige Planung sollte das Monitoring erweitert werden, sodass Management-plane-Zugriffe und privilegierte Aktionen unmittelbar in die Detektionskette einfließen. Expertensicht aus der Arctic-Wolf-Berichterstattung beschreibt dabei den Kernmechanismus: Wenn speziell präparierte HTTP-Requests ohne gültige Credentials an bestimmte EMS-Endpunkte gesendet werden, verarbeitet der Server diese wie echte administrative Aktionen. Genau dieser Übergang von „unautorisiert“ zu „autorisiert durch Logikfehler“ ist künftig zu verhindern. So wird aus einem akuten Patch-Event eine nachhaltige Verbesserung der Sicherheitsarchitektur.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CVE-2026-35616: FortiClient EMS wird aktiv ausgenutzt – dringendes Patch nötig" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CVE-2026-35616: FortiClient EMS wird aktiv ausgenutzt – dringendes Patch nötig" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CVE-2026-35616: FortiClient EMS wird aktiv ausgenutzt – dringendes Patch nötig« bei Google Deutschland suchen, bei Bing oder Google News!