ثغرة FortiClient EMS يتم استغلالها: المخاطر الأفقية المكشوفة في منصة إدارة نقاط النهاية للمؤسسات

استغلال ثغرة FortiClient EMS مرة أخرى: لماذا أصبحت منصة إدارة الأجهزة الطرفية سطح هجوم عالي القيمة

وفقًا لتقرير SecurityWeek، فإن الثغرة الحرجة في FortiClient Endpoint Management Server (EMS) التي أصدرت Fortinet لها تصحيحًا عاجلًا في أبريل قد ظهرت مجددًا مؤخرًا في هجمات فعلية، واستُخدمت لتسليم حصان طروادة لسرقة المعلومات EKZ Infostealer. رقم هذه الثغرة هو CVE-2026-35616، وسجلتها NVD بدرجة CVSS تبلغ 9.1، ويمكن استغلالها عن بُعد عبر طلبات مُحكَمة الصياغة لتنفيذ تنفيذ تعليمات برمجية عن بُعد غير مصرّح به (RCE). وكانت Fortinet قد أكدت سابقًا أن هذا الخلل استُخدم في البرية كاستغلال لثغرة يوم الصفر، ثم قامت بإصلاحه. كما أدرجتها CISA ضمن قائمة Known Exploited Vulnerabilities (KEV)، ما يؤكد أكثر أنها ذات قيمة هجومية قابلة للتحقق في البيئات الواقعية.

هذه الحوادث ليست مجرد “ثغرة حرجة أخرى” فحسب. فدور FortiClient EMS في بيئات المؤسسات هو الإدارة المركزية لأجهزة FortiClient والسياسات والإعدادات، ولذلك فهو في جوهره مركز التحكم لسياسات الأجهزة الطرفية والوصول عن بُعد. وإذا تمكن المهاجم من السيطرة على مثل هذا النظام، فلن يحتاج إلى إصابة كل جهاز طرفي على حدة، بل قد يتمكن من إرسال الأوامر مباشرة إلى الأجهزة المُدارة عبر قناة الإدارة. ويُظهر تحليل Arctic Wolf أن الحمولة الخبيثة في الهجمات الأخيرة يبدو أنها نُفذت عبر مسار إدارة FortiClient وسير عمل سكربتات VPN، مع أوامر تستدعي PowerShell، بما يعطي انطباعًا بأنها “عملية إدارية مشروعة”. وهذا يعني أن صعوبة الاكتشاف ستكون أعلى بكثير من هجمات البرمجيات الخبيثة التقليدية التي تُسلم من الخارج.

أسلوب الهجوم وسلسلة الاستغلال: من اختراق نقطة واحدة إلى السيطرة الجماعية

استنادًا إلى المعلومات المنشورة، تتضمن سلسلة الهجوم بشكل أساسي المراحل التالية:

1.1. تحديد سطح التعرض: يبحث المهاجمون عن نسخ FortiClient EMS التي لم يتم ترقيعها بعد. 2. الاستغلال عن بُعد للثغرة: استغلال CVE-2026-35616 لتفعيل RCE، والدخول إلى منصة الإدارة دون الحاجة إلى مصادقة. 3. إساءة استخدام وظائف الإدارة: بالاستفادة من آلية إدارة EMS، يتم دفع سكربتات أو أوامر إلى الأجهزة الطرفية المُدارة. 4. تنفيذ PowerShell: تشغيل الأوامر على الطرفية عبر سير عمل السكربتات، مما يقلل من مستوى الشذوذ الظاهري للأنشطة الخبيثة. 5. إسقاط أداة سرقة المعلومات: يتم في النهاية نشر EKZ Infostealer لاستهداف Chrome وMicrosoft Edge وFirefox وغيرها من متصفحات Chromium/Gecko لسرقة بيانات الاعتماد وملفات تعريف الارتباط وبيانات الملء التلقائي. 6. تسريب البيانات: تُرسَل البيانات التي تم جمعها إلى الخارج عبر HTTP.

تكمن خطورة هذا النمط في أنه يحوّل “الثغرة الفردية” التقليدية إلى “اختراق متسلسل على مستوى المنصة”. فإذا تم اختراق EMS بوصفه لوحة إدارة مركزية، فلن يضطر المهاجم إلى اختراق كل جهاز طرفي على حدة، بل يمكنه التأثير مباشرةً في عدد كبير من الأصول عبر الاستفادة من علاقات الثقة القائمة. وبالنسبة إلى SOC، قد تبدو هذه الأنشطة في السجلات أقرب إلى حركة الإدارة الطبيعية وعمليات الصيانة عن بُعد، ولذلك يسهل الخلط بينها وبين أعمال التشغيل والإدارة.

الأصول المتأثرة: ليس فقط الأجهزة الطرفية، بل أيضاً الهوية ولوحة الإدارة

تشمل الأصول المتأثرة في هذه الحادثة ما لا يقل عن ثلاثة مستويات:

• أصول الأجهزة الطرفية Endpoint: قد تتلقى أجهزة Windows/macOS المُدارة سكربتات وأوامر خبيثة بشكل موحد.
• أنظمة الهوية والوصول Identity and Access: قد تُستغل بيانات الاعتماد المحفوظة في المتصفح وملفات تعريف الارتباط للجلسات وبيانات الملء التلقائي لاحقاً في الاستحواذ على الحسابات.
• لوحة الإدارة Management Plane: بوصف FortiClient EMS نفسه مركز التحكم، فإن فقدانه يعني تضخيم سطح الهجوم من جهاز طرفي واحد إلى مجموعة الأجهزة المُدارة بأكملها.

بالنسبة إلى الشركات التي نشرت بالفعل إدارة موحدة للأجهزة الطرفية، وسياسات VPN، وقدرات الوصول للعمل عن بُعد، فإن هذا يعني أن اختراق نقطة تحكم واحدة قد يؤثر في عدة وحدات أعمال. وعلى وجه الخصوص، بالنسبة إلى المؤسسات التي تعمل في بيئات العمل الهجين، أو التي تعتمد على تشغيل خارجي، أو إدارة الأجهزة الطرفية عبر مناطق جغرافية متعددة، فإن “ميزة الإدارة المركزية” لهذه المنصات قد تنقلب في يد المهاجمين إلى “ميزة التدمير المركزي”.

تأثير الحادثة على الشركات: تصاعد متزامن في المخاطر التشغيلية والمالية والامتثالية والسمعة

1. المخاطر التشغيليةإذا استُخدم EMS بشكلٍ سيئ، فقد تواجه الشركات مشكلات مثل العبث على نطاق واسع باستراتيجيات الأجهزة الطرفية، وإساءة استخدام سكربتات VPN، والتحكم غير المباشر في إعدادات أمان الأجهزة الطرفية. سيؤثر ذلك في العمل عن بُعد، وإدارة الأصول، وتوزيع التصحيحات، واتساق السياسات الأمنية. وبالنسبة للجهات التي تعتمد على إدارة موحّدة للأجهزة الطرفية، فقد لا يعتمد وقت التعافي فقط على إصلاح الثغرة، بل أيضًا على ما إذا كانت طبقة الإدارة تحتاج إلى إعادة بناء وإجراءات أدلة جنائية.

2. المخاطر المالية

عادةً لا يكون هدف برمجيات حصان طروادة الخاصة بسرقة المعلومات تدمير الأنظمة، بل انتزاع مدخلات للهجمات اللاحقة. ويمكن استخدام الاعتمادات المسروقة لاختراق البريد الإلكتروني، والاستيلاء على حسابات SaaS، وتسجيل الدخول إلى VPN، والتحرك أفقياً داخل أنظمة الأعمال، ما قد يؤدي في النهاية إلى الابتزاز، أو الاحتيال، أو اختراق ثانوي لسلسلة التوريد. وغالبًا ما تفوق تكاليف التوقف، والاستجابة، والإجراءات القانونية، وإشعار العملاء، تكلفة نشر تصحيح واحد بمراحل.

3. مخاطر الامتثال

إذا كانت البيانات المسروقة تتضمن معلومات هوية الموظفين أو العملاء، أو رموز الجلسات، أو بيانات اعتماد الوصول إلى أنظمة أعمال خاضعة للتنظيم، فقد تضطر الشركة إلى مواجهة ضغوط الإبلاغ عن تسرب البيانات، وتتبع التدقيق، وتقييمات الامتثال عبر الحدود. وبالنسبة للجهات الخاضعة لتنظيم القطاع المالي، والرعاية الصحية، والمقاولين الحكوميين، والبنى التحتية الحيوية، فقد يؤدي تسرب هذه الاعتمادات أيضًا إلى تفعيل متطلبات أشد للإبلاغ الداخلي والإخطار لأطراف ثالثة.

4. مخاطر السمعة

عندما يستخدم المهاجمون حمولة متخفية على أنها “تصحيح رسمي من Fortinet”، فإن الحادث يثير شكوك المستخدمين والشركاء على حد سواء بشأن قنوات تحديث المورّد، وقدرة الشركة على حوكمة التصحيحات، ونضج عملياتها الأمنية. وحتى إذا لم يحدث في النهاية تسرب واسع النطاق للبيانات، فإن اختراق منصة إدارة المورّد بحد ذاته يضعف الثقة الخارجية.

تقدير مستوى الخطر: لماذا ينبغي اعتباره حادثًا ذا أولوية عالية

من منظور إدارة أمن المؤسسات، ينبغي اعتبار هذا الحادث استغلالًا ذا أولوية عالية وتأثير واسع النطاق، وذلك لثلاثة أسباب:

• الثغرة قابلة للاستغلال عن بُعد ومن دون مصادقة، ما يخفض عتبة الهجوم؛
• هدف الهجوم هو منصة الإدارة وليس جهازًا طرفيًا واحدًا، ما يضخّم الأثر؛
• تم التأكد من استغلالها فعليًا في البرية وأُدرجت ضمن CISA KEV، ما يعني أن التهديد الواقعي قائم وليس مجرد احتمال نظري.

وبخلاف ثغرات الأجهزة الطرفية العادية، ينبغي أن تقترب أولوية هذه الثغرات في منصات الإدارة من أولوية مكونات الهوية ووحدات التحكم بالمجال: فبمجرد اختراقها، لا يقتصر التأثير على الأجهزة المصابة، بل يمتد إلى حدود الثقة في كامل البيئة المُدارة.

اتجاهات القطاع: أنظمة إدارة نقاط النهاية تتحول إلى “مدخل ذي رافعة عالية” للمهاجمين

تعكس هذه الحادثة اتجاهًا متصاعدًا في القطاع: المهاجمون يفضّلون بشكل متزايد استهداف طبقة الإدارة بدلًا من استهداف نقاط الأعمال النهائية فقط. والسبب واضح—فالأنظمة الإدارية تمتلك صلاحيات أعلى، ونطاق تغطية أوسع، ومسارات تنفيذ أكثر استقرارًا. وسواء تعلق الأمر بوحدة تحكم إدارة EDR، أو نظام تنسيق VPN، أو لوحة إدارة سحابية، أو منصة توزيع سياسات الأجهزة الطرفية، فإن أي ثغرة فيها قد تحوّل “تعرضًا فرديًا” إلى “تحكم واسع النطاق”.

ومن منظور الاتجاهات، يتقاطع ذلك أيضًا مع ما شهدته السنوات الأخيرة من توجه الشركات نحو الثقة الصفرية والإدارة الموحدة لنقاط النهاية: فالشركات تسعى عبر الإدارة المركزية إلى تحسين الكفاءة، بينما يستغل المهاجمون هذه المركزية نفسها لزيادة كفاءة التخريب.من حيث الاتجاه، يتقاطع هذا أيضًا مع ما شهدته السنوات الأخيرة من دفع الشركات نحو الثقة الصفرية وإدارة نقاط النهاية الموحدة، في علاقة انعكاسية: فالشركات تسعى إلى رفع الكفاءة عبر الإدارة المركزية، بينما يستغل المهاجمون القدرة نفسها على المركزية لزيادة كفاءة التدمير. في المستقبل، يحتاج CISO إلى إدراج هذه المنصات ضمن نطاق الحماية نفسه المخصص للبنية التحتية للهوية ولوحات التحكم السحابية، لا أن يعتبرها مجرد أدوات تشغيل وصيانة.

توصيات الدفاع والاستجابة: الإجراءات التي ينبغي على الشركات اتخاذها فورًا

على مستوى الشركة

• التحقق فورًا مما إذا كانت FortiClient EMS مكشوفة على الإنترنت، وتأكيد حالة التصحيحات.
• إدراج EMS ولوحات إدارة VPN ووحدات تحكم EDR وغيرها ضمن قائمة الأصول ذات الأولوية القصوى.
• تطبيق تقسيم أكثر صرامة للوصول ومبدأ أقل الصلاحيات على أنظمة الإدارة عن بُعد.

على مستوى أمن الهوية

• فرض تفعيل MFA، خاصةً لحسابات المسؤولين والحسابات المرتبطة بالوصول عن بُعد.
• مراجعة سياسات حفظ بيانات الاعتماد في المتصفح وإدارة الجلسات، لتقليل بقاء بيانات الاعتماد لفترة طويلة على جانب الطرف النهائي.
• مراقبة مؤشرات تسجيل الدخول غير الطبيعي، وتسجيل الدخول من مواقع جغرافية مختلفة، واختطاف الجلسات.

على المستوى التقني

• مراقبة PowerShell وتنفيذ السكربتات وعمليات الإدارة غير المعتادة بشكل مكثف داخل SIEM.
• استخدام EDR/XDR لربط سجلات طبقة الإدارة بسلوك الطرف النهائي، واكتشاف «التنفيذ الخبيث عبر قناة شرعية».
• ربط قائمة CISA KEV والتنبيهات عالية الخطورة من الموردين بعملية إدارة الثغرات، لتجنب تأخر التصحيحات.

على المستوى الإداري

• إعادة تقييم تصنيف المخاطر لمنصات الإدارة التابعة لجهات خارجية والموردين.
• إعداد خطط IR (الاستجابة للحوادث) مخصصة لسيناريوهات اختراق طبقة الإدارة.
• إدخال اعتماد مزدوج، وتدقيق التغييرات، وآلية التراجع السريع على التغييرات ذات الامتيازات العالية.

رؤية SecurityPost

إن إعادة استغلال ثغرة FortiClient EMS في هجمات فعلية يوضح أن ما تحتاج الشركات إلى حمايته حقًا ليس الطرف النهائي بحد ذاته، بل «سلسلة الثقة الإدارية» التي تتحكم فيه. وعندما يستطيع المهاجم إصدار الأوامر عبر مسار إداري مشروع، تصبح أساليب الدفاع التقليدية المتمحورة حول الحدود والملفات الخبيثة وحركة الاتصال الخارجية غير كافية. وبالنسبة إلى CISO، تكمن الدروس الجوهرية في ثلاث نقاط: أولًا، ينبغي اعتبار منصات إدارة نقاط النهاية جزءًا من البنية التحتية الحرجة؛ ثانيًا، يجب أن تنحاز أولوية التصحيح نحو الأنظمة الإدارية القابلة للاستغلال عن بُعد، والتي لا تتطلب مصادقة والمستغلة ميدانيًا بالفعل؛ ثالثًا، يجب أن تتطور قدرات الكشف من الفحص الفردي للأجهزة إلى التحليل الموحّد لسلوك الإدارة وتنفيذ السكربتات وإساءة استخدام الهوية. والاتجاه الذي يستحق المتابعة مستقبلًا هو أن المهاجمين سيواصلون تحويل الهدف من «الأجهزة» إلى «الأنظمة التي تتحكم في الأجهزة»، ما سيدفع حدود أمن الشركات أكثر نحو الهوية والإعدادات وعمليات التشغيل. ومن يتمكن مبكرًا من تحديد هذه المداخل عالية التأثير وعزلها، سيكون الأقدر على تجنب الانهيار النظامي في الجولة التالية من الهجمات.