Fortinet FortiClient EMS の脆弱性 CVE-2026-35616：認証／認可バイパスの PoC が登場

PoC Released for Critical Fortinet FortiClient EMS Authentication Bypass Vulnerability

2026/10/15 CyberSecurityNews — Fortinet の FortiClient Endpoint Management Server (EMS) に存在する、認証と認可を回避できる脆弱性 CVE-2026-35616 に対して、実証コード (PoC) が公開された。セキュリティ担当者は、この実証コードを使用して自組織のシステムが脆弱性の影響を受けるか検証できる。CVE-2026-35616 を悪用する攻撃者は、通常は保護されている API エンドポイントに対して、認証をバイパスするかたちでアクセスする可能性がある。すでに Fortinet は、この脆弱性が実際の攻撃で悪用されたことを確認している。そのため、影響を受けるバージョンを運用する組織には、速やかな修正プログラムの適用が求められる。

今回の PoC は、研究者である Alaatk が GitHub 上で公開したものだ。公開された GitHub リポジトリでは、FortiClient EMS のバージョン 7.4.5／7.4.6 が影響を受けるとされている。また、README には、バージョン 7.4.7 に修正が含まれていることが記載されている。

この PoC には、検証対象のホストと任意のポート番号を指定できるコマンドライン・インターフェイスが用意されている。ただし、明示的な書面による許可が得られたシステムだけに、テスト対象を限定するよう、作成者は警告している。

CVE-2026-35616：認証と認可の回避による不正なコード実行

Fortinet は、脆弱性 CVE-2026-35616 を CWE-284 (不適切なアクセス制御) に分類している。この脆弱性を悪用する未認証のリモート攻撃者は、細工したリクエストを送信して EMS API のアクセス制御を回避し、許可されていないコードやコマンドを実行する可能性がある。

FortiClient EMS は、FortiClient の導入環境を管理するためのシステムである。そのため、EMS を侵害した攻撃者は、エンドポイントを一元管理する重要なシステムへアクセスし、組織全体のセキュリティに深刻な影響を及ぼす可能性がある。

影響を受けるのは FortiClient EMS 7.4.5／7.4.6

CVE-2026-35616 の影響を受けるのは、FortiClient EMS のバージョン 7.4.5／7.4.6 である。Fortinet によると、バージョン 7.2 系列は影響を受けない。また、FortiClient Cloud と FortiSASE については、すでに修正対応が完了している。

製品・バージョン状況
FortiClient EMS 7.4.5影響あり・修正が必要
FortiClient EMS 7.4.6影響あり・修正が必要
FortiClient EMS 7.4.7 以降修正済み
FortiClient EMS 7.2 系列影響なし
FortiClient Cloud修正対応済み
FortiSASE修正対応済み

ユーザー組織にとって必要なことは、すべての Fortinet 製品が同じ影響を受けると判断するのではなく、実際に使用している製品とバージョンを正確に確認することである。

GitHub で Python ベースの PoC コードを公開

Alaatk が公開した GitHub リポジトリには、Python スクリプトと、その実行方法に関する説明が含まれている。この PoC は、指定したホストに対して検証を実行する仕組みを持ち、必要に応じてポート番号も指定できる。そのため、自組織の FortiClient EMS 環境に対して、セキュリティチームが脆弱性の影響を検証する際に利用できる。

その一方で、一般公開されたエクスプロイト・コードを悪用する、権限を持たない第三者がインターネット上のサーバを調査する可能性もある。ただし、この PoC は、脆弱なシステムの台数や、実際に侵害された組織を示すものではない。

FortiClient EMS Authentication Bypass PoC (Source : github )
FortiClient EMS Authentication Bypass PoC (Source: Alaatk | GitHub)

ホットフィックスの適用または 7.4.7 以降への更新が推奨される

脆弱性に対応する上で、Fortinet の公式セキュリティ・アドバイザリが重要な情報源となる。

FortiClient EMS 7.4.5／7.4.6 を利用している顧客に対して、Fortinet が求めるのは、該当するホットフィックスの適用である。なお、この修正は、バージョン 7.4.7 以降にも含まれている。

管理者にとって必要なことは、運用中のバージョンに対応したベンダーの手順に従って更新を実施した上で、メンテナンス完了後に修正済みバージョンの適用を確認することだ。

さらに、ユーザー組織には以下の対策が推奨される。

  • 管理インターフェイスへのアクセス制限： EMS の管理画面へのアクセスを、信頼できるネットワークに限定する。
  • API リクエストの監視： 利用可能なログを確認し、通常とは異なる API リクエストを調査する。
  • 不審な変更の確認： 設定変更や予期しない操作が行われていないか確認する。
  • 侵害の兆候の調査： 不正アクセスや不審な活動を示す証拠がないか調査する。

特に、修正プログラムを適用していない状態で、EMS サーバがインターネットからアクセス可能だった場合は、優先的に調査することが重要だ。

PoC を使用した検証により、脆弱性の露出の確認が可能になるが、PoC によるテストは、パッチ適用や包括的な侵害調査の代わりにはならない。

すべての FortiClient EMS 導入環境での確認が重要

組織が最優先で実施すべきは、運用中の FortiClient EMS 導入環境を、すべて把握することだ。その上で、バージョン 7.4.5／7.4.6 の稼働について確認する必要がある。該当するシステムが見つかった場合には、ベンダーが提供するホットフィックスを適用するか、バージョン 7.4.7 以降へアップグレードし、修正が正しく反映されたことを確認すべきである。

また、PoC の実行は、自組織が管理するシステムや、明示的な書面による許可を得たシステムに限定しなければならない。許可を得ていない外部システムに対して PoC を実行すべきではない。

詳細な技術情報や修正手順については、Fortinet の公式 PSIRT アドバイザリと、CVE-2026-35616 の PoC リポジトリが主要な参照先となる。

この記事は、エンドポイント管理システムである Fortinet FortiClient EMS における認証および認可回避の脆弱性について解説するものです。API エンドポイントにおける不適切なアクセス制御が背景に存在します。影響として、未認証のリモート攻撃者による認可の不備を突いた不正なコマンド実行／管理機能の制御権の奪取が引き起こされる恐れがあります。対応策として、ホットフィックスの適用または 7.4.7 以降への更新／管理画面へのアクセス制限／API リクエストログの監視が求められます。