La faille FortiClient EMS CVE-2026-35616 est activement exploitée pour distribuer le malware EKZ Infostealer à grande échelle, déguisé en correctif officiel sous le nom FortiEndpoint_Patch.exe. Pour les PME-ETI qui déploient FortiClient EMS comme console de gestion centralisée, ce contournement d’authentification pré-auth (CVSS 9.1) ouvre la porte à une compromission rapide de tout le parc managé. Ce tutoriel détaille les étapes concrètes pour patcher, détecter une infection en cours et durcir votre environnement Fortinet.
Comprendre la faille FortiClient EMS CVE-2026-35616
La vulnérabilité FortiClient EMS CVE-2026-35616 combine un contournement d’authentification pré-auth et une escalation de privilèges dans la console Endpoint Management Server de Fortinet. Un attaquant non authentifié peut atteindre les API d’administration exposées, puis pousser un binaire arbitraire sur l’ensemble des endpoints inscrits dans la console. Les acteurs malveillants l’utilisent pour distribuer le payload EKZ Infostealer, qui exfiltre identifiants, cookies de session, portefeuilles crypto et secrets stockés localement.
Les éléments à retenir pour les PME-ETI :
- Versions affectées : FortiClient EMS antérieures à 7.4.7 (toutes branches).
- Vecteur : API administrative exposée sur le port HTTPS de la console (TCP 8013 par défaut, parfois 443 si nginx reverse-proxy).
- Payload observé :
FortiEndpoint_Patch.exe, signé avec un certificat volé pour passer SmartScreen. - Impact : compromission silencieuse de l’ensemble des postes managés, en quelques minutes.
Détecter EKZ Infostealer et le binaire FortiEndpoint_Patch.exe
Avant même de patcher, la priorité est de vérifier qu’aucun endpoint n’exécute déjà le payload. La CVE-2026-35616 étant exploitée depuis plusieurs jours, l’horloge tourne. Voici les contrôles à mener :
1. Chasser le binaire sur tous les endpoints
Lancez une requête EDR/XDR ou un script PowerShell GPO sur l’ensemble des postes :
- Recherche du fichier
FortiEndpoint_Patch.exedans%ProgramData%\Fortinet\,%TEMP%et%APPDATA%\Local\Temp\. - Vérification des tâches planifiées créées par le compte SYSTEM dans les 7 derniers jours.
- Indicateurs réseau : connexions sortantes vers des domaines C2 récents (.shop, .top) sur HTTPS et DNS-over-HTTPS.
2. Analyser les logs FortiClient EMS
Sur la console FortiClient EMS, exportez le journal des déploiements de paquets pour les 14 derniers jours et identifiez tout package non planifié par votre équipe IT. Croisez avec les logs nginx ou IIS pour repérer les requêtes API non authentifiées vers /api/v1/endpoint/push.
3. Inspecter les terminaux à risque
Pour chaque endpoint suspect, capturez les hashes des binaires Fortinet déployés et comparez aux hashes officiels publiés sur le portail Fortinet PSIRT. Un hash divergent confirme l’infection.
Patcher FortiClient EMS — checklist pour PME-ETI
Le patch officiel Fortinet pour la CVE-2026-35616 est la version 7.4.7. Voici la procédure de mise à jour sécurisée pour une PME-ETI gérant plusieurs centaines d’endpoints :
- Snapshot complet de la VM hébergeant FortiClient EMS (ESXi, Hyper-V ou Proxmox) avant toute manipulation.
- Isoler temporairement la console : couper l’exposition externe du port 8013 et 443 via le pare-feu front.
- Télécharger le binaire d’installation FortiClient EMS 7.4.7 depuis le portail support officiel (vérifier le hash SHA-256).
- Backup de la base SQL FortiClient EMS (généralement SQL Server Express ou Standard) en ligne de commande
sqlcmd. - Lancer l’installeur en mode upgrade. Le service s’arrête automatiquement, les certificats sont préservés.
- Redémarrer la console, valider la nouvelle version dans Settings → About.
- Re-vérifier qu’aucun endpoint n’a installé
FortiEndpoint_Patch.exeentre temps. - Rouvrir le pare-feu uniquement après confirmation et restreindre l’accès admin aux IPs internes.
Pour les PME-ETI multi-sites, planifiez la mise à jour par lot avec une fenêtre de maintenance de 90 minutes par console.
Durcir FortiClient EMS après le patch CVE-2026-35616
Patcher la CVE-2026-35616 est nécessaire mais pas suffisant. Pour neutraliser durablement la classe de menaces ciblant les consoles de gestion endpoint :
- Ne jamais exposer les ports d’administration FortiClient EMS (8013, 443) sur Internet. Si un accès distant est requis, passez par un VPN ou un ZTNA broker (FortiSASE, Cloudflare Access, Tailscale).
- Activer le MFA sur tous les comptes administrateurs EMS via SAML/SSO (Azure AD, Okta).
- Restreindre l’API push aux IPs internes uniquement via les ACL natives EMS.
- Signer numériquement les binaires que vous déployez via EMS avec un certificat interne, et configurer WDAC ou AppLocker pour rejeter tout exécutable non signé par votre PKI.
- Activer la télémétrie Fortinet vers votre SIEM (rule 23506 côté Wazuh, ou indexer dédié pour les logs FortiClient).
- Surveiller les déploiements de paquets EMS sortants : tout pic anormal doit déclencher une alerte SOC.
Plan d’action immédiat pour les PME-ETI
Si vous gérez un parc FortiClient EMS dans votre PME-ETI, voici les 72 heures qui comptent :
- Patcher 7.4.7 sur toutes les consoles dans les 24 prochaines heures.
- Lancer une chasse aux IoCs sur le périmètre managé : binaire
FortiEndpoint_Patch.exe, hashes, connexions C2. - Rotation des secrets sur tout endpoint potentiellement compromis : tokens cloud, sessions SaaS, mots de passe stockés navigateur.
- Activer la surveillance continue via votre SOC interne ou MSSP — la fenêtre d’exploitation reste ouverte plusieurs semaines après divulgation publique.
Notre approche IA défensive type Glasswing permet d’automatiser cette chasse à grande échelle, et notre méthodologie en 4 étapes intègre nativement la détection de ce type de chaîne d’attaque.