FortiClient EMS vulnerabilidad explotada: riesgos de movimiento lateral expuestos por la plataforma de gestión de endpoints empresariales

FortiClient EMS vulnerabilidad vuelve a ser explotada: por qué la plataforma de gestión de endpoints se convierte en una superficie de ataque de alto valor

Según informó SecurityWeek, Fortinet ha vuelto a ver en ataques reales una vulnerabilidad crítica de FortiClient Endpoint Management Server (EMS) para la que publicó un hotfix en abril, y que además se ha utilizado para entregar el troyano ladrón de información EKZ Infostealer. La vulnerabilidad se identifica como CVE-2026-35616, con una puntuación CVSS de 9.1 registrada por NVD, y puede activar de forma remota ejecución remota de código (RCE) no autorizada mediante una solicitud cuidadosamente construida. Fortinet ya había confirmado anteriormente que este defecto estaba siendo explotado como una vulnerabilidad de día cero en la naturaleza y procedió a corregirlo. CISA también lo ha incluido en la lista Known Exploited Vulnerabilities (KEV), lo que subraya aún más su valor de ataque verificable en entornos reales.

Este tipo de incidente no es solo “otra vulnerabilidad crítica”. En entornos empresariales, FortiClient EMS desempeña la función de gestionar de forma centralizada dispositivos, políticas y configuraciones de FortiClient, por lo que en esencia actúa como el centro de control de las políticas de endpoints y acceso remoto. Una vez que un atacante compromete este tipo de sistema, no necesita infectar terminales uno por uno, sino que puede enviar comandos directamente a los dispositivos administrados a través del canal de gestión. El análisis de Arctic Wolf muestra que, en los ataques recientes, la carga maliciosa parece haberse ejecutado mediante la ruta de gestión de FortiClient y un flujo de trabajo de scripts de VPN, con contenido de comandos que invocaba PowerShell, presentando la característica de “parecer una operación de administración legítima”. Esto significa que la dificultad de detección será notablemente mayor que en los ataques tradicionales de malware entregado desde el exterior.

Método de ataque y cadena de explotación: de la caída de un punto a la toma de control masiva

Según la información publicada, la cadena de ataque incluye principalmente los siguientes pasos:

1.1. 识识面 de exposición: los atacantes buscan instancias de FortiClient EMS que aún no hayan sido parcheadas. 2. Explotación remota de la vulnerabilidad: aprovechan CVE-2026-35616 para desencadenar RCE y acceder a la plataforma de administración sin necesidad de autenticación. 3. Abuso de funciones de administración: mediante el mecanismo de gestión de EMS, empujan scripts o comandos a los endpoints administrados. 4. Ejecución de PowerShell: ejecutan comandos en el lado del endpoint mediante flujos de trabajo de scripts, reduciendo la aparente anomalía de la actividad maliciosa. 5. Despliegue de herramientas de robo de información: finalmente implementan EKZ Infostealer, dirigido a Chrome, Microsoft Edge, Firefox y otros navegadores Chromium/Gecko para sustraer credenciales, cookies y datos de autocompletado. 6. Exfiltración de datos: los datos recopilados se exfiltran a través de HTTP.

La peligrosidad de este patrón radica en que transforma una tradicional “vulnerabilidad aislada” en un “compromiso en cadena a nivel de plataforma”. Si EMS, como plano de administración centralizado, es comprometido, el atacante ya no necesita vulnerar uno por uno los controles de los endpoints, sino que puede apoyarse en las relaciones de confianza existentes para afectar directamente a un gran número de activos. Para el SOC, este tipo de actividad puede parecerse más al tráfico normal de administración y a las operaciones de mantenimiento remoto en los registros, por lo que es más fácil que se confunda con tareas de operaciones.

Activos afectados: no solo los endpoints, sino también la identidad y el plano de administración

Los activos afectados en este incidente abarcan al menos tres niveles:

• Activos Endpoint: los dispositivos Windows/macOS administrados pueden recibir de forma centralizada scripts y comandos maliciosos.
• Sistemas de identidad y acceso: las credenciales almacenadas en el navegador, las cookies de sesión y los datos de autocompletado podrían utilizarse posteriormente para el secuestro de cuentas.
• Plano de administración: FortiClient EMS, como centro de control, una vez comprometido amplía la superficie de ataque de un único endpoint a todo el grupo administrado.

Para las empresas que ya han desplegado administración unificada de endpoints, distribución de políticas de VPN y capacidades de acceso para teletrabajo, esto significa que el compromiso de un punto de control podría afectar a múltiples unidades de negocio. Especialmente en organizaciones orientadas a entornos de trabajo híbrido, operaciones externalizadas y gestión de endpoints en distintas regiones, la “ventaja de gobierno centralizado” de estas plataformas se convierte, en manos del atacante, en una “ventaja de destrucción centralizada”.

Impacto empresarial: aumentan simultáneamente los riesgos operativos, financieros, de cumplimiento y de reputación

1. Riesgo operativoSi EMS es explotado, la empresa podría enfrentarse a problemas como la alteración a gran escala de las políticas de los terminales, el abuso de scripts de VPN y el control indirecto de las configuraciones de seguridad de los endpoints. Esto afectaría el trabajo remoto, la gestión de activos, la distribución de parches y la coherencia de las políticas de seguridad. Para las organizaciones que dependen de una gestión unificada de terminales, el tiempo de recuperación podría depender no solo de la corrección de la vulnerabilidad, sino también de si es necesario reconstruir y realizar análisis forense del plano de gestión.

2. Riesgo financiero

El objetivo de los troyanos de robo de información no suele ser destruir sistemas, sino obtener un punto de entrada para ataques posteriores. Las credenciales robadas pueden utilizarse para comprometer el correo electrónico, tomar control de cuentas SaaS, iniciar sesión en VPN y realizar movimientos laterales en sistemas empresariales, lo que finalmente desencadena ransomware, fraude o intrusiones secundarias en la cadena de suministro. Los costes derivados de la inactividad, la respuesta, los asuntos legales y la notificación a clientes suelen ser mucho más altos que el coste de una sola implementación de parches.

3. Riesgo de cumplimiento

Si los datos robados incluyen información de identidad de empleados o clientes, tokens de sesión o credenciales de acceso a sistemas empresariales regulados, la empresa podría tener que enfrentar la presión de notificaciones de brechas de datos, trazabilidad de auditoría y evaluaciones de cumplimiento transfronterizo. Para las organizaciones sujetas a regulación financiera, sanitaria, contratistas gubernamentales e infraestructuras críticas, este tipo de fuga de credenciales también podría activar requisitos más estrictos de informes internos y notificación a terceros.

4. Riesgo de marca

Cuando los atacantes utilizan cargas útiles disfrazadas de “parches oficiales de Fortinet”, el incidente genera una doble desconfianza por parte de usuarios y socios hacia los canales de actualización del proveedor, la capacidad de gobernanza de parches de la empresa y la madurez de sus operaciones de seguridad. Incluso si finalmente no se produce una fuga masiva de datos, la mera pérdida de control de la plataforma de gestión del proveedor debilita la confianza externa.

Evaluación del nivel de riesgo: por qué debe considerarse un incidente de alta prioridad

Desde la perspectiva de la gestión de seguridad empresarial, este incidente debe considerarse una explotación de vulnerabilidad de alta prioridad y alto impacto, por tres razones:

• La vulnerabilidad puede explotarse de forma remota y sin autenticación, por lo que la barrera de ataque es baja;
• El objetivo del ataque es la plataforma de gestión, no un terminal individual, lo que amplifica significativamente el efecto;
• Se ha confirmado su explotación en el mundo real y ha sido incluida en CISA KEV, lo que demuestra que la amenaza ya es real y no meramente teórica.

A diferencia de las vulnerabilidades comunes de terminales, la prioridad de este tipo de fallos en plataformas de gestión debería acercarse a la de los sistemas de identidad y los componentes de control de dominio: una vez comprometidos, no solo se ve afectado el dispositivo infectado, sino todo el perímetro de confianza del ecosistema gestionado.

Tendencia del sector: los sistemas de gestión de endpoints se están convirtiendo en “puntos de entrada de alto apalancamiento” para los atacantes

Este incidente refleja una tendencia del sector que se está intensificando: los atacantes cada vez prefieren atacar el plano de gestión en lugar de limitarse a los endpoints de negocio. La razón es simple: los sistemas de gestión tienen mayores privilegios, una cobertura más amplia y rutas de ejecución más estables. Ya sean consolas de gestión de EDR, sistemas de orquestación de VPN, paneles de administración en la nube o plataformas de distribución de políticas de terminales, una vez que aparece una vulnerabilidad, pasan de ser una “exposición puntual” a un “control a gran escala”.Desde la perspectiva de la tendencia, esto también guarda una relación en espejo con el impulso empresarial de los últimos años hacia la confianza cero y la gestión unificada de endpoints: las empresas esperan mejorar la eficiencia mediante la administración centralizada, mientras que los atacantes aprovechan esa misma capacidad de centralización para aumentar la eficiencia de la destrucción. En el futuro, los CISO deberán incluir este tipo de plataformas dentro del mismo nivel de protección que la infraestructura de identidad y las consolas en la nube, en lugar de considerarlas únicamente como herramientas de operaciones.

Recomendaciones de defensa y respuesta: acciones que las empresas deben tomar de inmediato

A nivel empresarial

• Verificar de inmediato si FortiClient EMS está expuesto en Internet y confirmar el estado de los parches.
• Incluir EMS, la consola de administración de VPN, la consola de EDR, etc., en la lista de activos de máxima prioridad.
• Aplicar una segmentación de acceso más estricta y el principio de privilegio mínimo a los sistemas de administración remota.

A nivel de seguridad de identidad

• Habilitar de forma obligatoria MFA, especialmente para administradores y cuentas relacionadas con acceso remoto.
• Revisar las credenciales guardadas en el navegador y las políticas de gestión de sesiones para reducir la permanencia prolongada de credenciales en el lado del endpoint.
• Monitorear inicios de sesión anómalos, inicios de sesión desde ubicaciones inusuales y señales de secuestro de sesiones.

A nivel técnico

• En el SIEM, supervisar con prioridad PowerShell, la ejecución de scripts y las operaciones administrativas anómalas.
• Usar EDR/XDR para correlacionar los registros de la capa de administración con el comportamiento del endpoint e identificar “ejecución maliciosa en canales legítimos”.
• Vincular la lista CISA KEV y los avisos críticos de los proveedores al proceso de gestión de vulnerabilidades para evitar retrasos en la aplicación de parches.

A nivel de gestión

• Revaluar la clasificación de riesgo de las plataformas de gestión de terceros y de proveedores.
• Elaborar un plan específico de IR (respuesta a incidentes) para escenarios de compromiso de la capa de administración.
• Introducir aprobación de dos personas, auditoría de cambios y mecanismos de reversión para cambios de configuración de alto privilegio.

SecurityPost Insight

La vulnerabilidad de FortiClient EMS volvió a utilizarse en ataques reales, lo que demuestra que lo que las empresas realmente necesitan proteger no es solo el endpoint en sí, sino la “cadena de confianza de administración” que controla los endpoints. Cuando los atacantes pueden aprovechar rutas legítimas de administración para enviar comandos, los enfoques de defensa tradicionales centrados en el perímetro, los archivos maliciosos y el tráfico saliente resultan insuficientes. Para los CISO, las tres lecciones clave de este tipo de incidentes son: primero, las plataformas de gestión de endpoints deben considerarse parte de la infraestructura crítica; segundo, la prioridad de parcheo debe inclinarse hacia los sistemas de administración explotables de forma remota, sin autenticación y ya explotados activamente; tercero, la capacidad de detección debe evolucionar desde la inspección de una sola máquina hacia el análisis conjunto del comportamiento administrativo, la ejecución de scripts y el abuso de identidades. La tendencia que merece atención en el futuro es que los atacantes seguirán desplazando el objetivo desde los “dispositivos” hacia los “sistemas que controlan los dispositivos”, lo que hará que el perímetro de seguridad empresarial migre aún más hacia la identidad, la configuración y los procesos de operaciones. Quien logre identificar y aislar antes estos puntos de acceso de alto apalancamiento tendrá más probabilidades de evitar un colapso sistémico en la próxima oleada de ataques.