Sezon świąteczny za nami, jednak cyberprzestępcy nie planowali odpoczynku. Podczas gdy większość z nas skupiała się na wielkanocnych tradycjach, specjaliści z branży bezpieczeństwa monitorowali niepokojące działania wokół rozwiązań firmy Fortinet. Eksperci z Defused Cyber alarmują: krytyczna podatność w systemie FortiClient EMS stała się aktywnym celem ataków.
Dla administratorów sieci i oficerów bezpieczeństwa to sygnał do natychmiastowego działania. Luka, oznaczona jako CVE-2026-21643, pozwala na przejęcie kontroli nad systemem bez konieczności posiadania jakichkolwiek uprawnień.
FortiClient EMS – serce zarządzania
FortiClient EMS (Endpoint Management Server) to kluczowe ogniwo w ekosystemie Fortinet. Służy do centralnego wdrażania, konfiguracji oraz monitorowania agentów na stacjach roboczych. Ze względu na wsparcie dla środowisk obsługujących wielu klientów, system ten często przechowuje dane dotyczące różnych podmiotów lub działów korporacyjnych, co czyni go niezwykle atrakcyjnym celem dla grup APT oraz operatorów ransomware.
Anatomia ataku: Jak działa CVE-2026-21643?
Podatność została sklasyfikowana jako SQL injection, którą można wykorzystać zdalnie, przesyłając odpowiednio spreparowane żądania HTTP. Co najgorsze, proces ten nie wymaga uwierzytelnienia – napastnik nie musi znać hasła ani posiadać konta w systemie.
Dlaczego doszło do błędu?
W wersji 7.4.4 producent wprowadził zmiany w warstwie middleware oraz mechanizmach komunikacji z bazą danych. Niestety, w trakcie modyfikacji kodu przeoczono kluczowy element bezpieczeństwa: sanityzację danych.
Czym jest sanityzacja? To proces oczyszczania danych wejściowych z niebezpiecznych znaków lub fragmentów kodu (np. komend SQL). Jej brak sprawił, że nagłówki HTTP przekazywane przez użytkownika trafiały bezpośrednio do zapytań bazodanowych.
Firma Bishop Fox, która przeprowadziła szczegółową analizę techniczną, wskazuje na endpoint /api/v1/init_consts. To właśnie tam hakerzy mogą wstrzykiwać złośliwe polecenia, co w konsekwencji prowadzi do:
- wykonywania dowolnego kodu na serwerze,
- wykradania danych administratorów i certyfikatów,
- pobierania polityk bezpieczeństwa i list wszystkich końcówek w sieci.
Skala zagrożenia: tysiące systemów w zasięgu ręki
Choć Fortinet wydał poprawkę (wersja 7.4.5) już na początku lutego, tempo aktualizacji w wielu organizacjach pozostawia wiele do życzenia. Dane są niepokojące.
- Według Shadowserver Foundation, w sieci wciąż widocznych jest ponad 2000 instancji FortiClient EMS.
- Kod typu Proof-of-Concept (PoC) jest już publicznie dostępny, co drastycznie obniża próg wejścia dla mniej zaawansowanych cyberprzestępców.
- Przez wiele dni rejestrowano systematyczne próby wykorzystania tej krytycznej luki.
Rekomendacje G DATA: Jak zabezpieczyć infrastrukturę?
Jako eksperci w dziedzinie cyberbezpieczeństwa, przypominamy, że systemy zarządzania punktami końcowymi. Ich przejęcie oznacza utratę kontroli nad całą siecią.
- Bezzwłoczna aktualizacja: jeśli korzystasz z FortiClient EMS w wersji 7.4.4, priorytetem jest aktualizacja do wersji 7.4.5 lub nowszej.
- Ograniczenie widoczności: sprawdź, czy serwer EMS musi być wystawiony bezpośrednio do publicznego Internetu. Jeśli tak, zabezpiecz dostęp za pomocą VPN lub list dostępu (ACL).
- Audyt logów: przeskanuj logi serwera pod kątem nietypowych odwołań do endpointu /api/v1/init_consts.
- Wielowarstwowa ochrona: upewnij się, że Twoje rozwiązanie antywirusowe (EDR/XDR) monitoruje podejrzane procesy wywoływane przez usługi systemowe.
Brak oficjalnego komunikatu Fortinet o „aktywnym wykorzystywaniu” luki nie powinien uśpić Twojej czujności. Historia uczy, że w przypadku takich podatności, atak jest jedynie kwestią czasu.
Chcesz dowiedzieć się więcej o tym, jak skutecznie chronić punkty końcowe w Twojej firmie?
