CVE-2026-35616: FortiClient EMS unter aktiver Ausnutzung — Der Pre-Auth-Bypass, der Endpoint-Management zum Eindringungsvektor macht

Wenn eine Authentifizierungs-Bypass-Schwachstelle ein Edge-Gerät trifft — eine Firewall, einen VPN-Konzentrator — ist der Schaden schwer, aber begrenzt: Der Angreifer gelangt ins Netzwerk. Wenn dieselbe Schwachstellenklasse die Enterprise-Endpoint-Management-Konsole trifft, ist der Schaden um eine Größenordnung größer: Der Angreifer betritt das Netzwerk nicht — er erbt es. CVE-2026-35616 gehört zur zweiten Kategorie, weshalb Fortinet einen Out-of-Band-Patch veröffentlicht hat und CISA und internationale Partner ihre Advisories beschleunigt haben.

Die Schwachstelle mit CVSS 9.1 ist als Pre-Authentication API-Access-Bypass beschrieben, der zu Privilege Escalation führt. In der Praxis: Ein nicht authentifizierter Angreifer, der die FortiClient EMS-API erreichen kann, kann Requests craften, die ihn als Administrator erkannt werden lassen, und von dort unautorisierten Code oder Befehle im Service-Kontext ausführen. Erste In-the-Wild-Exploitation-Versuche wurden am 31. März 2026 registriert — vor der öffentlichen Disclosure.

Was FortiClient EMS ist und warum die Schwachstelle so schwerwiegend ist

FortiClient Enterprise Management Server (EMS) ist die zentrale Plattform, über die Organisationen im Fortinet-Ökosystem den FortiClient-Endpoint-Agent verwalten. Über EMS laufen Agent-Deployment, Policy-Management (VPN-Zugriff, Antivirus-Posture, Anwendungskontrolle), Endpoint-Telemetrie-Sammlung und zentralisierte Flotten-Compliance-Sichtbarkeit. Es ist mit anderen Worten das Bedienfeld, über das Tausende oder Zehntausende von Unternehmensarbeitsplätzen und Laptops verwaltet werden.

Diese architektonische Position erklärt, warum CVE-2026-35616 besonders gefährlich ist. Ein Angreifer, der Code-Ausführung auf dem EMS-Server erlangt, hat keinen Endpoint kompromittiert: Er hat das Kommando über die Konsole übernommen, die Policies, Skripte und (in einigen Konfigurationen) Software an alle verwalteten Endpoints verteilt. Die natürliche Exploitation-Flugbahn hört nicht bei EMS auf — sie propagiert über den legitimen Management-Kanal zu den darunterliegenden Endpoints. Dies ist dasselbe Muster wie bei Kaseya (REvil Ransomware, 2021), SolarWinds (2020) und zuletzt im Stryker-Handala-Fall mit Microsoft Intune (von AEGIDA am 9. April 2026 dokumentiert).

Anatomie des Bypass: Wenn die API einen Admin ohne Credentials erkennt

Fortinets öffentliche Beschreibung und die Advisories von Intelligence-Partnern (insbesondere Arctic Wolf) konvergieren auf einer für diese Bug-Klasse typischen Dynamik: Die EMS-API-Oberfläche enthält einen Code-Pfad, in dem die Authentifizierungsprüfung erst nach der Interpretation einiger Request-Parameter erfolgt. Ein Angreifer, der einen spezifisch missgestalteten Request craftet, kann den Prozess veranlassen, das Authentifizierungs-Gate zu überspringen und direkt zu Management-Operationen zu gehen, die standardmäßig administrative Privilegien erfordern.

Dies ist nicht der erste Bug dieser Familie für EMS: 2024 hatte CVE-2024-48887 bereits gezeigt, dass der Konsolen-API-Stack analoge Fragilitäten aufwies. Die Wiederholung legt nahe, dass die Konsolen-Angriffsoberfläche nicht dieselbe Härtungsaufmerksamkeit wie die FortiGate-Firewall erhalten hat.

Die Ausnutzung: Was ein Angreifer nach dem Bypass tut

Die beobachtete oder plausible Angriffskette verläuft in fünf Phasen. Erste: der API-Bypass für die Admin-Rolle ohne Credentials. Zweite: Enumeration der verwalteten Endpoint-Flotte — Host-Liste, Benutzer, OS-Versionen, angewandte Policies, EDR-Zustand. Dritte: Erstellung einer Policy oder eines Deployment-Skripts, das eine beliebige Payload auf Ziel-Endpoints ausführt, über den legitimen Agent-Konsole-Kanal. Vierte: Aktivierung der Policy auf einer Teilmenge hochwertiger Endpoints (Domänen-Server, Sysadmin-Arbeitsplätze, Entwickler-Endpoints). Fünfte: Spurenbeseitigung — Log-Modifikation, temporäre Alert-Regel-Deaktivierung, Schaffung persistenten Zugriffs unabhängig von EMS.

• Phase 1 — Pre-Auth API-Bypass auf EMS (CVE-2026-35616)
• Phase 2 — Enumeration der Endpoint-Flotte, Benutzer, Policies, EDR-Zustand
• Phase 3 — Bösartige Policy/Script über legitimen Kanal propagiert
• Phase 4 — Aktivierung auf hochwertigen Endpoints (DC, Admin-Workstation, Dev)
• Phase 5 — Spurenbeseitigung + Persistenz unabhängig von EMS

Wer exponiert ist und warum der Patch allein nicht ausreicht

Jede Organisation, die die FortiClient EMS-Admin-Schnittstelle dem Internet aussetzt — zur Verwaltung von Remote-Endpoints, für Admin-Zugriff von außerhalb des Unternehmensnetzwerks oder aus Konfigurationsträgheit — befindet sich in der ersten Risikostufe. Internet-weite Scanner haben bereits Tausende exponierter EMS-Instanzen identifiziert.

Der Out-of-Band-Patch ist notwendig, aber nicht hinreichend. Wenn eine Instanz zwischen dem 31. März (erster beobachteter Exploit) und dem Update vom Internet erreichbar war, muss sie als potenziell kompromittiert behandelt werden. Dies erfordert eine forensische Untersuchung: Analyse der API-Logs auf anomale Anfragen vor dem Patch, Vergleich aktiver Policies mit erwarteten, Suche nach im Expositionsfenster erstellten oder modifizierten Admin-Konten, Verifikation der auf verwaltete Endpoints geschickten Deployment-Skripte.

Operative Empfehlungen

1. 1.Sofortige Anwendung des Fortinet-Out-of-Band-Patches auf allen FortiClient EMS-Instanzen. Nicht auf das Wartungsfenster warten: Dieser Patch hat Priorität wie ein aktiver Incident.
2. 2.Expositions-Audit: Prüfen, ob die EMS-Management-Schnittstelle seit dem 31. März 2026 irgendwann vom Internet erreichbar war.
3. 3.Forensische Untersuchung potenziell exponierter Instanzen: Prüfung der API-Logs, modifizierter Policies, Admin-Konten, Deployment-Skripte.
4. 4.Isolation der Management-Konsole vom Benutzernetzwerk: EMS muss auf einem dedizierten administrativen Segment stehen, zugänglich nur über authentifizierten Bastion-Host mit phishing-resistenter MFA.
5. 5.Überprüfung der Deployment-Policies: Jede aktive Policy muss auf ein genehmigtes Change-Ticket zurückzuführen sein.
6. 6.Rotation der auf EMS und verbundenen Systemen (AD, CA, SCCM) verwendeten Admin-Credentials.
7. 7.Aktivierung von Alerts bei EMS-Policy-Modifikationen und ungeplanten Massendeployments.
8. 8.Threat Hunting auf verwalteten Endpoints: Suche nach anomalen Prozessausführungen vom FortiClient-Agent, undokumentierten Scheduled Tasks, Persistenz-Registry-Schlüssel-Modifikationen.
9. 9.Erweiterter Segmentierungsplan: Jede Endpoint-Management-Konsole (EMS, Intune, SCCM, Workspace ONE, Jamf) als kritische Infrastruktur auf Augenhöhe mit Domänen-Controllern behandeln.

Fazit: Management-Konsolen sind das neue Schwerpunkt des Angriffs

CVE-2026-35616 ist kein Einzelfall: Es ist ein weiteres Kapitel eines klaren Trends 2024-2026, bei dem Angreifer ihren Schwerpunkt vom einzelnen Endpoint und Perimeter zu zentralisierten Management-Plattformen verschoben haben. Kaseya, SolarWinds, Ivanti, ConnectWise, Intune, jetzt FortiClient EMS. Die Logik des Angreifers ist rational: Warum tausend Endpoints einzeln kompromittieren, wenn man die Konsole kompromittieren kann, die sie alle verwaltet?

Für Verteidiger bedeutet dies, dass das traditionelle mentale Modell überwunden werden muss. Die Management-Konsole ist kein Werkzeug: Sie ist ein kritisches Asset, oft das kritischste des Netzwerks. Härtung, Segmentierung, Monitoring und Patch-Management auf diesen Plattformen müssen höchste Priorität haben. CVE-2026-35616 ist die Erinnerung dieser Woche. Die nächste kommt bald.