Il piano di gestione è diventato il payload: FortiClient EMS e la trappola della falsa patch

Nella sicurezza aziendale, l'abuso più pericoloso spesso sembra una routine. Una finestra di patch, una chiamata API di amministrazione, un canale di aggiornamento affidabile - sono i punti in cui i difensori si aspettano ordine, non intrusione. Ma quando FortiClient Endpoint Management Server viene abusato, lo strato di gestione stesso può diventare il percorso attraverso cui il malware raggiunge i sistemi gestiti.

Fatti rapidi

• CVE-2026-35616 interessa FortiClient Endpoint Management Server, il sistema centralizzato usato per gestire policy e aggiornamenti degli endpoint.
• La falla viene descritta come un bypass dell'autenticazione nell'API EMS che può consentire a richieste non autenticate di raggiungere funzioni privilegiate.
• Secondo quanto riferito, gli attaccanti hanno sfruttato la debolezza per distribuire una falsa patch Fortinet che installava il malware EKZ.
• EKZ viene descritto come un malware ladro di credenziali, il che aumenta il rischio di furto di password del browser e sessioni.
• Il percorso di rimedio di Fortinet per le distribuzioni EMS vulnerabili è applicare hotfix o eseguire l'aggiornamento a una release corretta, mentre le varianti ospitate erano già state sanate.

Perché questa falla è importante

FortiClient EMS occupa una posizione di elevata fiducia. È progettato per distribuire configurazioni, applicare policy e diffondere aggiornamenti su flotte di endpoint. Questo lo rende un bersaglio prezioso: se un attaccante riesce ad abusare del percorso di amministrazione di EMS, il guadagno non è solo una singola macchina infetta, ma un canale che può toccare molti sistemi gestiti contemporaneamente.

Questo è il vero pericolo di un bug di controllo degli accessi improprio in un'API di amministrazione. Anche senza una classica catena di exploit contro ogni endpoint, un attaccante che possa inviare richieste privilegiate potrebbe riuscire ad agire come un operatore legittimo. In termini pratici, ciò può trasformare la distribuzione software in un meccanismo di distribuzione di malware.

La campagna di falsa patch riportata si adatta a questo modello. Piuttosto che violare gli endpoint uno per uno, il percorso dell'attaccante sembra aver fatto affidamento sulla fiducia nel flusso di aggiornamento. Per i difensori, è un promemoria del fatto che la convalida della provenienza delle patch conta quanto la rapidità con cui vengono applicate. Un aggiornamento malevolo può sembrare manutenzione finché non inizia ad avviare processi e a rubare credenziali.

Anche l'aspetto del furto di credenziali conta oltre l'host infetto. Le credenziali del browser e i dati di sessione possono essere riutilizzati su SaaS, VPN, email e applicazioni interne. Ciò significa che il rischio operativo può estendersi ulteriormente se gli utenti riutilizzano le password o se i cookie rubati rimangono validi.

Al momento della stesura, le informazioni pubbliche non stabiliscono completamente la portata esatta degli utenti interessati, la causa tecnica completa o se tutti gli ambienti che usano EMS siano stati colpiti. Le evidenze disponibili supportano una valutazione del rischio, non un'ipotesi generalizzata di compromissione totale.

Cosa devono monitorare i difensori

La priorità immediata è il controllo delle versioni. Qualsiasi distribuzione FortiClient EMS su build vulnerabili dovrebbe essere portata senza ritardi a una release corretta o a un percorso di hotfix. Anche l'accesso al piano di gestione dovrebbe essere ristretto solo a reti fidate e a identità amministrative approvate.

I team di sicurezza dovrebbero cercare segni di attività amministrativa insolita, in particolare cambiamenti di configurazione inattesi, anomalie relative ai certificati, origini di accesso sospette o catene di processi che passano dai componenti FortiClient a shell di comandi o PowerShell. Sono il tipo di segnali che spesso compaiono quando strumenti fidati vengono riutilizzati per la distribuzione o l'esecuzione.

Conclusione

Questo incidente è un duro promemoria del fatto che la sicurezza degli endpoint è forte solo quanto la catena di fiducia che la sostiene. Quando un attaccante raggiunge il piano di gestione, l'obiettivo non è più solo la persistenza su un dispositivo - è il controllo del percorso che dice a molti dispositivi cosa fidarsi. Ecco perché le interfacce di amministrazione meritano lo stesso livello di scrutinio difensivo dei servizi esposti a Internet: una volta che la fiducia viene abusata, il resto dello stack può essere messo al servizio dell'attaccante.

TECHCROOK

Chiavi di sicurezza hardware: Per gli account di amministrazione e SaaS, l'MFA resistente al phishing aggiunge un secondo fattore fisico più difficile da riutilizzare rispetto alle password o alle sessioni del browser. Utile per account ad alta fiducia e accesso remoto.

Scheda Techcrook: Chiavi di sicurezza hardware

WIKICROOK

• Controllo degli accessi improprio: Una falla in cui un sistema non riesce a far rispettare chi è autorizzato a eseguire azioni sensibili.
• Server di gestione degli endpoint: Software centralizzato che amministra policy, aggiornamenti e impostazioni di sicurezza per molti dispositivi.
• Bypass dell'autenticazione: Una debolezza che consente a un richiedente di raggiungere funzioni ristrette senza controlli di accesso validi.
• Ladro di credenziali: Malware progettato per raccogliere password, cookie e altro materiale di accesso dai sistemi infetti.
• Piano di gestione: Il livello amministrativo usato per controllare e configurare l'infrastruttura, spesso un bersaglio di grande valore.