SecBoard
Zurück zur CVE-Übersicht

CVE-2026-35616

CRITICAL(9.8)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score83/100 — KRITISCH
  • CVSS 9.8 — Kritisch
  • EPSS 94% — sehr wahrscheinlich ausgenutzt
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

Erwähnungen (letzte 60 Tage)

Artikel

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

94.0%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

CVE-2026-35616 betrifft Fortinet FortiClientEMS Versionen 7.4.5 bis 7.4.6 und ist eine Schwachstelle durch unsachgemäße Zugriffskontrolle. Sie ermöglicht einem nicht authentifizierten Angreifer die Ausführung von nicht autorisiertem Code oder Befehlen durch speziell gestaltete Anfragen. Die potenzielle Auswirkung ist erheblich, da sie die vollständige Kontrolle über das betroffene System ermöglichen kann.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

A improper access control vulnerability in Fortinet FortiClientEMS 7.4.5 through 7.4.6 may allow an unauthenticated attacker to execute unauthorized code or commands via crafted requests.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV). Hackers are exploiting an authentication bypass vulnerability (CVE-2026-35616) in FortiClient Enterprise Management Server (EMS) to deliver an undocumented credential stealer called EKZ. The attacker disguised the malware as an update for Fortinet endpoints and executed it through VPN scripting workflows managed by FortiClient. Arctic Wolf observed attacks leveraging t

Behobene Versionen

  • 7.4.5
  • 7.4.6

Threat-Hunting-Queries

Detects the execution of malicious PowerShell scripts via FortiClient-managed VPN scripting workflows, specifically looking for fortitray.exe launching cmd.exe to execute base64-encoded PowerShell.

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessFileName =~ "fortitray.exe"
| where FileName =~ "cmd.exe"
| where ProcessCommandLine contains "powershell.exe -EncodedCommand"
| project Timestamp, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine, FolderPath, InitiatingProcessCommandLine

Splunk SPL

index=* sourcetype=WinEventLog:Security (ParentProcessName="fortitray.exe" OR ParentProcessName="FortiClient.exe") ProcessName="cmd.exe" CommandLine="*powershell.exe -EncodedCommand*" | table _time, host, ParentProcessName, ProcessName, CommandLine

Sigma

title: FortiClient EMS PowerShell Execution
id: 00000000-0000-0000-0000-000000000001
status: experimental
description: Detects suspicious PowerShell execution originating from FortiClient EMS components, indicative of CVE-2026-35616 exploitation.
author: SecBoard
date: 2026/05/28
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith: '\fortitray.exe'
    Image|endswith: '\cmd.exe'
    CommandLine|contains: 'powershell.exe -EncodedCommand'
  condition: selection
level: high

Elastic ES|QL

from process where event.type == "start" and process.parent.executable : "fortitray.exe" and process.executable : "cmd.exe" and process.command_line : "*powershell.exe -EncodedCommand*" | select @timestamp, host.name, process.parent.executable, process.executable, process.command_line, process.working_directory

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Referenzen