FortiClient EMS : exploitation d’une vulnérabilité ; les risques latéraux révélés par la plateforme de gestion des terminaux d’entreprise

La vulnérabilité de FortiClient EMS à nouveau exploitée : pourquoi les plateformes de gestion des terminaux deviennent-elles une surface d’attaque à forte valeur ?

Selon SecurityWeek, la vulnérabilité critique du FortiClient Endpoint Management Server (EMS), pour laquelle Fortinet a publié un correctif d’urgence en avril, est récemment réapparue dans des attaques réelles et a été utilisée pour diffuser le cheval de Troie voleur d’informations EKZ Infostealer. Cette vulnérabilité, référencée sous le numéro CVE-2026-35616, affiche un score CVSS de 9.1 dans les enregistrements du NVD et peut déclencher à distance une exécution de code à distance non autorisée (RCE) via une requête soigneusement construite. Fortinet a précédemment confirmé que ce défaut avait été exploité dans la nature comme une faille de type zero-day et l’a corrigé. La CISA l’a également ajouté à la liste Known Exploited Vulnerabilities (KEV), ce qui souligne davantage sa valeur d’exploitation vérifiable dans des environnements réels.

Ce type d’incident ne se résume pas à « une autre vulnérabilité critique ». Dans les environnements d’entreprise, le rôle de FortiClient EMS est de gérer de manière centralisée les appareils, politiques et configurations FortiClient ; il s’agit donc essentiellement du centre de contrôle des terminaux et des politiques d’accès à distance. Dès qu’un attaquant prend le contrôle d’un tel système, il n’a plus besoin d’infecter les terminaux un par un, mais peut potentiellement envoyer des commandes directement aux appareils gérés via le canal d’administration. L’analyse d’Arctic Wolf montre que, lors des attaques récentes, la charge malveillante semble avoir été exécutée via le chemin de gestion FortiClient et le workflow de scripts VPN, avec des commandes appelant PowerShell, donnant l’apparence d’opérations d’administration légitimes. Cela signifie que la détection sera nettement plus difficile que dans le cas d’une attaque traditionnelle de logiciel malveillant livré depuis l’extérieur.

Mode d’attaque et chaîne d’exploitation : d’une compromission ponctuelle à un contrôle à grande échelle

D’après les informations publiées, la chaîne d’attaque comprend principalement les étapes suivantes :

CONTEXT_AFTER: 1.1. Identification de la surface exposée : les attaquants recherchent des instances de FortiClient EMS qui n’ont pas encore été corrigées. 2. Exploitation à distance de la vulnérabilité : ils exploitent CVE-2026-35616 pour déclencher une RCE, et peuvent accéder à la plateforme de gestion sans authentification. 3. Abus des fonctions de gestion : en s’appuyant sur les mécanismes de gestion d’EMS, ils poussent des scripts ou des commandes vers les terminaux sous gestion. 4. Exécution de PowerShell : les commandes sont exécutées côté terminal via un flux de scripts, ce qui réduit l’apparence anormale de l’activité malveillante. 5. Déploiement d’un outil de vol d’informations : ils finissent par déployer EKZ Infostealer, ciblant Chrome, Microsoft Edge, Firefox ainsi que d’autres navigateurs Chromium/Gecko pour voler des identifiants, des cookies et des données de remplissage automatique. 6. Exfiltration des données : les données collectées sont exfiltrées via HTTP.

Ce qui rend ce mode opératoire dangereux, c’est qu’il transforme une « vulnérabilité isolée » en une « compromission en chaîne au niveau de la plateforme ». Si EMS, en tant que plan de gestion centralisé, est compromis, l’attaquant n’a plus besoin de percer la protection de chaque terminal un par un ; il peut s’appuyer sur les relations de confiance existantes pour toucher directement un grand nombre d’actifs. Pour le SOC, ce type d’activité peut, dans les journaux, ressembler davantage à un trafic de gestion normal et à des opérations de maintenance à distance, et donc être plus facilement interprété à tort comme une activité d’exploitation.

Actifs affectés : pas seulement les terminaux, mais aussi l’identité et le plan de gestion

Cette घटना implique au moins trois niveaux d’actifs affectés :

• Actifs terminaux Endpoint : les appareils Windows/macOS gérés peuvent recevoir de manière centralisée des scripts et des commandes malveillantes.
• Systèmes d’identité et d’accès Identity and Access : les identifiants enregistrés dans les navigateurs, les cookies de session et les données de remplissage automatique peuvent ensuite être utilisés pour la prise de contrôle de comptes.
• Plan de gestion Management Plane : FortiClient EMS lui-même, en tant que centre de contrôle, une fois compromis, étend la surface d’attaque d’un seul terminal à l’ensemble du groupe géré.

Pour les entreprises ayant déjà déployé une gestion unifiée des terminaux, le déploiement de politiques VPN et des capacités d’accès au télétravail, cela signifie qu’un point de contrôle compromis peut affecter plusieurs unités opérationnelles. En particulier pour les organisations orientées vers des environnements de travail hybrides, des opérations externalisées et une gestion de terminaux répartis géographiquement, l’« avantage de gouvernance centralisée » de ce type de plateforme peut se retourner, entre les mains de l’attaquant, en « avantage de destruction centralisée ».

Impact pour l’entreprise : les risques opérationnels, financiers, de conformité et de réputation augmentent simultanément

1. Risque opérationnelSi EMS est exploité, les entreprises peuvent être confrontées à des problèmes tels que la falsification à grande échelle des politiques des terminaux, l’abus des scripts VPN et la manipulation indirecte des configurations de sécurité des terminaux. Cela peut affecter le télétravail, la gestion des actifs, la distribution des correctifs et la cohérence des politiques de sécurité. Pour les organisations qui dépendent d’un contrôle unifié des terminaux, le temps de rétablissement peut dépendre non seulement de la correction de la vulnérabilité, mais aussi de la nécessité de reconstruire la couche de gestion et de mener des investigations forensiques.

2. Risque financier

L’objectif habituel des chevaux de Troie d’exfiltration d’informations n’est pas de détruire les systèmes, mais de voler des points d’entrée pour des attaques ultérieures. Les identifiants volés peuvent être utilisés pour l’intrusion dans les boîtes mail, la prise de contrôle de comptes SaaS, les connexions VPN et le mouvement latéral dans les systèmes métier, provoquant au final des rançongiciels, des fraudes ou une seconde intrusion dans la chaîne d’approvisionnement. Les coûts liés à l’arrêt, à la réponse à incident, aux aspects juridiques et aux notifications aux clients qui en résultent dépassent souvent de loin le coût d’un simple déploiement de correctif.

3. Risque de conformité

Si les données volées incluent des informations d’identité d’employés ou de clients, des jetons de session ou des identifiants d’accès à des systèmes métiers réglementés, l’entreprise peut devoir faire face à des obligations de notification de violation de données, de traçabilité d’audit et à une pression accrue liée aux évaluations de conformité transfrontalière. Pour les organisations soumises à la réglementation des secteurs financier, médical, des sous-traitants gouvernementaux et des infrastructures critiques, ce type de fuite d’identifiants peut également déclencher des exigences plus strictes en matière de signalement interne et de notification aux tiers.

4. Risque d’image

Lorsque les attaquants utilisent une charge déguisée qui « ressemble à un correctif officiel de Fortinet », l’incident suscite des doutes à double niveau chez les utilisateurs et les partenaires concernant les canaux de mise à jour du fournisseur, la capacité de l’entreprise à gouverner les correctifs et la maturité de ses opérations de sécurité. Même si cela n’entraîne finalement pas de fuite massive de données, la compromission de la plateforme de gestion du fournisseur suffit en elle-même à éroder la confiance externe.

Évaluation du niveau de risque : pourquoi il faut considérer cet incident comme une priorité élevée

Du point de vue de la gestion de la sécurité d’entreprise, cet incident doit être considéré comme une exploitation de vulnérabilité à haute priorité et à fort impact, pour trois raisons :

• La vulnérabilité est exploitable à distance et sans authentification, ce qui abaisse considérablement le seuil d’attaque ;
• La cible est une plateforme de gestion, et non un terminal individuel, ce qui amplifie fortement l’impact ;
• Son exploitation dans la nature a été confirmée et elle figure dans le CISA KEV, ce qui indique que la menace est réelle et non théorique.

Contrairement aux vulnérabilités ordinaires des terminaux, la priorité des failles de ce type sur les plateformes de gestion devrait se rapprocher de celle des systèmes d’identité et des composants de contrôle de domaine : une fois compromis, ce n’est pas seulement l’appareil infecté qui est affecté, mais l’ensemble de la frontière de confiance de l’écosystème administré.

Tendance sectorielle : les systèmes de gestion des terminaux deviennent un « point d’entrée à fort effet de levier » pour les attaquants

Cet incident reflète une tendance sectorielle continue et renforcée : les attaquants privilégient de plus en plus l’attaque de la couche de gestion plutôt que celle des seuls terminaux métier. La raison est simple : les systèmes de gestion disposent de privilèges plus élevés, d’une couverture plus large et de chemins d’exécution plus stables. Qu’il s’agisse d’une console de gestion EDR, d’un système d’orchestration VPN, d’un tableau de bord de gestion cloud ou d’une plateforme de distribution des politiques des terminaux, dès qu’une vulnérabilité apparaît, elle transforme une « exposition ponctuelle » en « contrôle à grande échelle ».

Du point de vue des tendances, cela présente aussi une relation en miroir avec les efforts entrepris ces dernières années par les entreprises pour mettre en place le zero trust et la gestion unifiée des terminaux : les entreprises cherchent à accroître leur efficacité grâce à une gestion centralisée, tandis que les attaquants exploitent cette même capacité de centralisation pour augmenter l’efficacité de la destruction. À l’avenir, les CISO devront inclure ce type de plateformes dans un périmètre de protection du même niveau que l’infrastructure d’identité et les consoles cloud, et ne plus les considérer uniquement comme des outils d’exploitation.

Recommandations de défense et de réponse : actions immédiates à prendre par l’entreprise

Au niveau de l’entreprise

• Vérifier immédiatement si FortiClient EMS est exposé sur Internet et confirmer l’état des correctifs.
• Intégrer EMS, les consoles d’administration VPN, les consoles EDR, etc. dans la liste des actifs prioritaires de plus haut niveau.
• Appliquer aux systèmes de gestion à distance des règles de segmentation d’accès plus strictes et le principe du moindre privilège.

Au niveau de la sécurité des identités

• Imposer l’activation du MFA, en particulier pour les comptes administrateurs et ceux liés à l’accès à distance.
• Examiner les stratégies de stockage des identifiants dans le navigateur et de gestion des sessions afin de réduire la persistance à long terme des identifiants côté terminal.
• Surveiller les connexions anormales, les connexions depuis des lieux inhabituels et les signes de détournement de session.

Au niveau technique

• Dans le SIEM, surveiller en priorité PowerShell, l’exécution de scripts et les opérations d’administration anormales.
• Utiliser l’EDR/XDR pour corréler les journaux de la couche de gestion avec le comportement des terminaux afin d’identifier les « exécutions malveillantes via des canaux légitimes ».
• Intégrer la liste CISA KEV et les alertes critiques des fournisseurs au processus de gestion des vulnérabilités afin d’éviter les retards de correction.

Au niveau de la direction

• Réévaluer la classification des risques des plateformes de gestion tierces et des fournisseurs.
• Élaborer un plan IR (Incident Response) dédié aux scénarios de compromission de la couche de gestion.
• Introduire une double validation, un audit des changements et des mécanismes de retour arrière pour les modifications de configuration à privilèges élevés.

SecurityPost Insight

Le fait que la vulnérabilité de FortiClient EMS ait été à nouveau exploitée dans des attaques réelles montre que ce que les entreprises doivent réellement protéger n’est pas seulement le terminal lui-même, mais aussi la « chaîne de confiance de gestion » qui contrôle les terminaux. Lorsque les attaquants peuvent diffuser des commandes via des chemins de gestion légitimes, les approches défensives traditionnelles centrées sur le périmètre, les fichiers malveillants et le trafic sortant deviennent insuffisantes. Pour un CISO, l’enseignement principal de ce type d’événement se résume en trois points : premièrement, les plateformes de gestion des terminaux doivent être considérées comme faisant partie de l’infrastructure critique ; deuxièmement, la priorité des correctifs doit se porter sur les systèmes de gestion exploitables à distance, sans authentification, et déjà exploités dans la nature ; troisièmement, les capacités de détection doivent évoluer d’une simple analyse antivirus sur poste à une analyse conjointe des comportements d’administration, de l’exécution de scripts et de l’abus d’identités. La tendance à surveiller à l’avenir est que les attaquants continueront à déplacer leur cible des « appareils » vers les « systèmes qui contrôlent les appareils », ce qui fera encore migrer le périmètre de sécurité des entreprises vers les identités, les configurations et les processus d’exploitation. Ceux qui sauront identifier plus tôt et isoler ces points d’entrée à fort effet de levier seront aussi ceux qui auront le plus de chances d’éviter une compromission systémique lors de la prochaine vague d’attaques.