FortiClient EMS-Schwachstelle wird ausgenutzt: Laterale Risiken, die durch die exponierte Unternehmens-Endpunktverwaltungsplattform offengelegt werden

FortiClient EMS-Schwachstelle erneut ausgenutzt: Warum eine Endpoint-Management-Plattform zu einer hochattraktiven Angriffsfläche wird

Laut SecurityWeek hat Fortinet die im April per Hotfix behobene kritische Schwachstelle im FortiClient Endpoint Management Server (EMS) kürzlich erneut in realen Angriffen beobachtet, wo sie zur Verteilung des Infostealer-Trojaners EKZ Infostealer eingesetzt wurde. Die Schwachstelle trägt die Kennung CVE-2026-35616, hat laut NVD einen CVSS-Wert von 9,1 und ermöglicht durch sorgfältig konstruierte Anfragen aus der Ferne eine nicht autorisierte Remote Code Execution (RCE). Fortinet hatte bereits zuvor bestätigt, dass der Fehler in freier Wildbahn als Zero-Day ausgenutzt wurde, und ihn daraufhin behoben. Auch die CISA hat ihn in die Known Exploited Vulnerabilities (KEV)-Liste aufgenommen, was zusätzlich verdeutlicht, dass er in realen Umgebungen nachweislich missbraucht werden kann.

Solche Vorfälle sind nicht einfach nur „noch eine weitere kritische Schwachstelle“. FortiClient EMS übernimmt in Unternehmensumgebungen die zentrale Verwaltung von FortiClient-Geräten, Richtlinien und Konfigurationen und ist damit im Kern die Schaltzentrale für Endpunkte und Fernzugriffsrichtlinien. Sobald Angreifer ein solches System kompromittieren, müssen sie nicht mehr einzelne Endgeräte infizieren, sondern können unter Umständen über den Verwaltungskanal direkt Befehle an verwaltete Systeme verteilen. Die Analyse von Arctic Wolf zeigt, dass die jüngsten Angriffe offenbar über den FortiClient-Verwaltungspfad und VPN-Skript-Workflows ausgeführt wurden; die Befehle riefen PowerShell auf und wirkten dabei wie legitime Verwaltungsaktionen. Das bedeutet, dass die Erkennung deutlich schwieriger ist als bei herkömmlichen Angriffen mit direkt ausgelieferter Malware.

Angriffsmethode und Ausnutzungskette: Vom Einzelkompromiss zur breit angelegten Kontrolle

Den öffentlich bekannten Informationen zufolge umfasst die Angriffskette vor allem die folgenden Schritte:

1.1. Angriffsfläche identifizieren: Angreifer suchen nach noch ungepatchten FortiClient-EMS-Instanzen. 2. Schwachstelle aus der Ferne ausnutzen: CVE-2026-35616 wird ausgenutzt, um RCE auszulösen; ein Einstieg in die Verwaltungsplattform ist ohne Authentifizierung möglich. 3. Verwaltungsfunktionen missbrauchen: Mithilfe des EMS-Verwaltungsmechanismus werden Skripte oder Befehle an verwaltete Endgeräte gepusht. 4. PowerShell ausführen: Befehle werden über einen Skript-Workflow auf der Endgeräteseite ausgeführt, wodurch die offensichtliche Anomalie des bösartigen Verhaltens reduziert wird. 5. Informationsdiebstahl-Tool ausliefern: Schließlich wird EKZ Infostealer bereitgestellt, um Anmeldedaten, Cookies und Autofill-Daten aus Chrome, Microsoft Edge, Firefox sowie anderen Chromium-/Gecko-Browsern zu stehlen. 6. Daten exfiltrieren: Die gesammelten Daten werden per HTTP abgeflossen.

Die Gefahr dieses Musters liegt darin, dass es eine traditionelle „Einzelschwachstelle“ in eine „plattformweite Kettenkompromittierung“ verwandelt. Wenn EMS als zentrale Verwaltungsoberfläche kompromittiert wird, müssen Angreifer nicht mehr jeden Endpunkt einzeln überwinden, sondern können über bestehende Vertrauensbeziehungen direkt zahlreiche Assets beeinflussen. Für SOCs erscheint eine solche Aktivität in den Protokollen oft eher wie normaler Verwaltungsverkehr und Remote-Wartungsbetrieb und wird daher leichter fälschlich als operative Tätigkeit eingestuft.

Betroffene Assets: Nicht nur Endgeräte, sondern auch Identitäts- und Management-Ebene

Die von diesem Vorfall betroffenen Assets umfassen mindestens drei Ebenen:

• Endgeräte-Assets: Verwaltete Windows-/macOS-Geräte können per Massenauslieferung mit Skripten und schädlichen Befehlen versorgt werden.
• Identitäts- und Zugriffssysteme: In Browsern gespeicherte Anmeldedaten, Session-Cookies und Autofill-Daten können weiter zur Kontoübernahme missbraucht werden.
• Management-Ebene: FortiClient EMS selbst dient als Steuerzentrale; fällt sie aus, erweitert sich die Angriffsfläche von einem einzelnen Endgerät auf die gesamte verwaltete Gruppe.

Für Unternehmen, die zentrale Endpunktverwaltung, VPN-Policy-Verteilung und Remote-Work-Zugriffsfunktionen bereits eingeführt haben, bedeutet dies, dass die Kompromittierung eines einzigen Kontrollpunkts mehrere Geschäftseinheiten betreffen kann. Besonders bei Organisationen mit hybriden Arbeitsumgebungen, externer Betriebsunterstützung und standortübergreifender Endgeräteverwaltung kehrt sich der „Vorteil der zentralisierten Governance“ in den Händen von Angreifern in einen „Vorteil der zentralisierten Zerstörung“ um.

Auswirkungen auf Unternehmen: Betriebs-, Finanz-, Compliance- und Reputationsrisiken steigen gleichzeitig an

1. Betriebsrisiken

Wenn EMS ausgenutzt wird, können Unternehmen mit weitreichenden Problemen wie manipulierten Endgeräte-Richtlinien, missbräuchlich verwendeten VPN-Skripten und indirekt gesteuerten Endgeräte-Sicherheitskonfigurationen konfrontiert werden.Wenn EMS ausgenutzt wird, können Unternehmen mit Problemen wie einer großflächigen Manipulation von Endpunkt-Richtlinien, dem Missbrauch von VPN-Skripten und einer indirekten Beeinflussung von Sicherheitskonfigurationen auf Endgeräten konfrontiert sein. Dies beeinträchtigt Remote-Arbeit, Asset-Management, Patch-Verteilung und die Konsistenz von Sicherheitsrichtlinien. Für Organisationen, die auf eine einheitliche Endpunktverwaltung angewiesen sind, hängt die Wiederherstellungszeit möglicherweise nicht nur vom Schließen der Schwachstelle ab, sondern auch davon, ob die Verwaltungsebene neu aufgebaut werden muss und forensische Maßnahmen erforderlich sind.

2. Finanzielles Risiko

Das Ziel von Infostealer-Trojanern ist in der Regel nicht, Systeme zu zerstören, sondern den Einstiegspunkt für Folgeangriffe zu erlangen. Gestohlene Zugangsdaten können für E-Mail-Kompromittierung, die Übernahme von SaaS-Konten, VPN-Anmeldungen und laterale Bewegungen in Geschäftssystemen verwendet werden, was letztlich zu Ransomware, Betrug oder einer zweiten Kompromittierung der Lieferkette führt. Die daraus resultierenden Kosten für Ausfallzeiten, Incident Response, Rechtsberatung und Benachrichtigung von Kunden übersteigen oft die Kosten einer einzelnen Patch-Bereitstellung bei Weitem.

3. Compliance-Risiko

Wenn die gestohlenen Daten Mitarbeiter- oder Kundendaten, Sitzungstoken oder Zugangsdaten für regulierte Geschäftssysteme enthalten, können Unternehmen mit Druck durch Meldepflichten bei Datenlecks, Audit-Trails und grenzüberschreitende Compliance-Bewertungen konfrontiert werden. Für Organisationen unter Aufsicht von Finanz-, Gesundheits-, Regierungsauftraggeber- und Kritischer-Infrastruktur-Regulierungen können derartige Leaks von Zugangsdaten zudem strengere interne Melde- und Benachrichtigungspflichten gegenüber Dritten auslösen.

4. Reputationsrisiko

Wenn Angreifer eine als „offizieller Fortinet-Patch“ getarnte Nutzlast verwenden, löst der Vorfall bei Nutzern und Partnern zugleich Zweifel an den Update-Kanälen des Herstellers, an der Patch-Governance des Unternehmens und an der Reife des Sicherheitsbetriebs aus. Selbst wenn es letztlich nicht zu einem großflächigen Datenabfluss kommt, schwächt allein der Verlust der Hersteller-Verwaltungsplattform das externe Vertrauen.

Einschätzung des Risikograds: Warum dies als Ereignis mit hoher Priorität gelten sollte

Aus Sicht des Sicherheitsmanagements in Unternehmen sollte dieser Vorfall als eine Schwachstellenausnutzung mit hoher Priorität und großer Reichweite betrachtet werden, und zwar aus drei Gründen:

• Die Schwachstelle ist aus der Ferne ausnutzbar und erfordert keine Authentifizierung, was die Einstiegshürde für Angreifer senkt;
• Das Angriffsziel ist die Verwaltungsplattform und nicht ein einzelner Endpunkt, wodurch der Skalierungseffekt erheblich ist;
• Eine aktive Ausnutzung in freier Wildbahn wurde bereits bestätigt und ist in CISA KEV aufgenommen, was zeigt, dass die reale Bedrohung bereits besteht und nicht nur theoretisch möglich ist.

Im Unterschied zu gewöhnlichen Endpunkt-Schwachstellen sollte die Priorität solcher Schwachstellen in Verwaltungsplattformen nahezu an die von Identitätssystemen und Domänencontroller-Komponenten heranreichen: Sobald sie kompromittiert sind, betrifft der Schaden nicht nur die infizierten Geräte, sondern die Vertrauensgrenze des gesamten verwalteten Ökosystems.

Branchentrend: Endpunktverwaltungssysteme werden zunehmend zum „hochwirksamen Einstiegspunkt“ für Angreifer

Dieser Vorfall spiegelt einen anhaltenden Branchentrend wider: Angreifer neigen immer stärker dazu, die Verwaltungsebene anzugreifen, statt nur die Geschäftsendpunkte. Der Grund ist naheliegend: Verwaltungssysteme verfügen über höhere Berechtigungen, eine größere Abdeckung und stabilere Ausführungspfade. Ob EDR-Verwaltungskonsole, VPN-Orchestrierungssystem, Cloud-Admin-Backend oder Plattform zur Verteilung von Endpunktrichtlinien – sobald dort eine Schwachstelle auftritt, wird aus einem „Einzelpunkt der Exponierung“ eine „skalierbare Kontrolle“.Aus Trendperspektive steht dies auch in einer Spiegelbeziehung zu der in den letzten Jahren von Unternehmen vorangetriebenen Zero-Trust- und Unified-Endpoint-Management-Strategie: Unternehmen wollen durch zentrale Verwaltung die Effizienz steigern, während Angreifer dieselbe Zentralisierung nutzen, um die Zerstörungseffizienz zu erhöhen. In Zukunft müssen CISOs solche Plattformen in denselben Schutzumfang einbeziehen wie Identitätsinfrastrukturen und Cloud-Konsolen, statt sie lediglich als Betriebsmittel zu betrachten.

Empfehlungen für Verteidigung und Reaktion: Unverzüglich zu ergreifende Maßnahmen

Auf Unternehmensebene

• Unverzüglich prüfen, ob FortiClient EMS im Internet exponiert ist, und den Patch-Status bestätigen.
• EMS, VPN-Verwaltungskonsolen, EDR-Konsolen usw. in die Liste der Assets mit höchster Priorität aufnehmen.
• Für Remote-Management-Systeme strengere segmentierte Zugriffe und das Prinzip der geringsten Rechte umsetzen.

Auf Ebene der Identitätssicherheit

• MFA verpflichtend aktivieren, insbesondere für Administratoren und kontozugangsbezogene Fernzugriffs-Konten.
• Vom Browser gespeicherte Anmeldedaten und Richtlinien zur Sitzungsverwaltung überprüfen, um die langfristige Verweildauer von Anmeldedaten auf Endgeräten zu reduzieren.
• Anomale Anmeldungen, Anmeldungen von ungewöhnlichen Standorten und Anzeichen von Session-Hijacking überwachen.

Auf technischer Ebene

• In SIEM insbesondere PowerShell, Skriptausführungen und ungewöhnliche Verwaltungsoperationen überwachen.
• EDR/XDR nutzen, um Management-Plane-Logs mit Endpoint-Verhalten zu korrelieren und „bösartige Ausführung über legitime Kanäle“ zu erkennen.
• CISA-KEV-Listen und Hochrisiko-Bulletins der Anbieter mit dem Schwachstellenmanagement-Prozess verknüpfen, um Patch-Verzögerungen zu vermeiden.

Auf Managementebene

• Die Risikoklassifizierung von Drittanbieter- und Lieferanten-Managementplattformen neu bewerten.
• Für Szenarien eines kompromittierten Management-Pfluges spezielle IR-Notfallpläne (Incident Response) ausarbeiten.
• Für hochprivilegierte Konfigurationsänderungen Vier-Augen-Freigabe, Änderungsprüfung und Rollback-Mechanismen einführen.

SecurityPost Insight

Dass eine FortiClient-EMS-Schwachstelle erneut für reale Angriffe missbraucht wird, zeigt: Unternehmen müssen nicht nur die Endgeräte selbst schützen, sondern die „Vertrauenskette der Verwaltung“, die diese Endgeräte steuert. Wenn Angreifer über legitime Verwaltungspfade Befehle ausrollen können, reicht ein traditionelles, auf Perimeter, Schaddateien und ausgehenden Verkehr fokussiertes Verteidigungskonzept nicht mehr aus. Für CISOs lassen sich aus solchen Vorfällen drei Kernlehren ableiten: Erstens sollten Endpoint-Management-Plattformen als Teil der kritischen Infrastruktur betrachtet werden; zweitens muss die Patch-Priorisierung in Richtung „fern ausnutzbar, keine Authentifizierung, bereits in freier Wildbahn ausgenutzt“ verschoben werden; drittens muss sich die Erkennungsfähigkeit von der Einzelhost-Bereinigung hin zu einer kombinierten Analyse von Verwaltungsverhalten, Skriptausführung und Identitätsmissbrauch entwickeln. Ein künftig besonders wichtiger Trend ist, dass Angreifer ihren Fokus weiter von „Geräten“ auf „Systeme, die Geräte steuern“ verlagern werden. Dadurch verschieben sich die Sicherheitsgrenzen von Unternehmen noch stärker in Richtung Identität, Konfiguration und Betriebsprozesse. Wer solche hochwirksamen Einstiegspunkte früher erkennt und isoliert, hat größere Chancen, in der nächsten Angriffsphase einen systemischen Kontrollverlust zu vermeiden.