La faille FortiClient EMS inquiète actuellement les équipes cybersécurité après l’apparition d’attaques ciblant directement les infrastructures de gestion des endpoints. Plusieurs campagnes malveillantes utilisent désormais cette vulnérabilité pour diffuser le malware EKZ au sein des réseaux d’entreprise.
Cette vulnérabilité, identifiée sous la référence CVE-2026-35616, affecte FortiClient Endpoint Management Server (EMS). Elle permet à des attaquants non authentifiés d’exécuter des requêtes privilégiées via l’API de gestion. Des cybercriminels exploitent déjà cette faiblesse pour pousser de faux correctifs Fortinet contenant des charges malveillantes.
Une première alerte détaillée a été relayée par GBHackers, tandis que plusieurs chercheurs observent une hausse des scans ciblant les serveurs EMS exposés sur Internet.
La faille FortiClient EMS facilite les compromissions
La faille FortiClient EMS touche directement les infrastructures utilisées pour administrer les postes de travail et les politiques de sécurité des entreprises. En effet, les serveurs EMS occupent une position critique dans les environnements Fortinet.
Les attaquants exploitent une faiblesse d’authentification dans l’API EMS. Cette technique permet d’envoyer des requêtes administratives sans disposer d’identifiants valides.
Le bulletin de sécurité publié sur le portail Fortinet PSIRT confirme que des correctifs sont désormais disponibles pour les versions vulnérables.
Selon les premières analyses techniques, les cybercriminels distribuent ensuite un faux package de mise à jour prétendant corriger la faille. Cependant, ce fichier installe en réalité le malware EKZ sur les systèmes compromis.
Des chercheurs interrogés par Cyber Security News indiquent que cette campagne vise principalement les environnements d’entreprise fortement centralisés.
Le malware EKZ cible les identifiants d’entreprise
Le malware EKZ déployé via la faille FortiClient EMS possède plusieurs fonctionnalités offensives. Il permet notamment le vol d’identifiants, l’exfiltration de données sensibles et l’exécution de commandes distantes.
Les attaquants cherchent surtout à compromettre :
- les accès VPN ;
- les identifiants Active Directory ;
- les sessions administrateur ;
- les jetons d’authentification.
Par ailleurs, plusieurs indices montrent que les cybercriminels utilisent également des techniques d’évasion afin de contourner les solutions EDR.
Une analyse publiée dans le National Vulnerability Database rappelle que les vulnérabilités affectant les plateformes de gestion centralisée représentent un risque majeur pour les grandes organisations.
Les infrastructures télécoms, les banques et les administrations africaines pourraient être particulièrement exposées. En effet, de nombreuses organisations utilisent encore des équipements Fortinet accessibles depuis Internet.
Les attaques visant les environnements Fortinet se multiplient depuis plusieurs mois, notamment autour des scénarios d’injection SQL sur FortiClient EMS
Les entreprises africaines doivent renforcer la surveillance
La faille FortiClient EMS illustre une nouvelle fois les risques liés aux serveurs d’administration exposés publiquement. Les équipes SOC doivent désormais surveiller toute activité inhabituelle sur les serveurs EMS.
Plusieurs mesures sont recommandées :
- appliquer immédiatement les correctifs Fortinet ;
- limiter l’exposition Internet des serveurs EMS ;
- renforcer les contrôles MFA ;
- surveiller les connexions API suspectes ;
- vérifier l’intégrité des packages de mise à jour.
Le catalogue Known Exploited Vulnerabilities de la CISA rappelle régulièrement que les vulnérabilités activement exploitées deviennent rapidement des portes d’entrée pour les ransomwares et les opérations d’espionnage.
De plus, les entreprises doivent renforcer la segmentation réseau autour des infrastructures de gestion centralisée. Cette approche limite les mouvements latéraux après compromission.
Enfin, les organisations africaines doivent intégrer une surveillance continue des plateformes de sécurité elles-mêmes. Les outils de cybersécurité deviennent désormais des cibles prioritaires pour les attaquants.
Conclusion
La faille FortiClient EMS CVE-2026-35616 démontre l’intérêt croissant des cybercriminels pour les plateformes de gestion centralisée. L’exploitation de cette vulnérabilité permet aux attaquants de diffuser discrètement le malware EKZ dans les réseaux d’entreprise.
Les organisations doivent appliquer rapidement les correctifs publiés par Fortinet et renforcer la supervision des accès administratifs. Une détection précoce reste essentielle pour limiter les risques de compromission massive.
