Trusted Design

CVE-2026-35616 の詳細

CVEの情報

説明:
A improper access control vulnerability in Fortinet FortiClientEMS 7.4.5 through 7.4.6 may allow an unauthenticated attacker to execute unauthorized code or commands via crafted requests.

CVE更新日: 2026-04-04 01:16:39.720000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2026-04-06

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.090980000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2026-35616について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2026-35616は、Fortinet FortiClient Endpoint Management Server (EMS) に存在する不適切なアクセス制御の脆弱性です。この脆弱性により、認証されていないリモートの攻撃者が、細工されたリクエストを介して不正なコードやコマンドを実行できる可能性があります。具体的には、APIの認証および認可をバイパスできる問題とされています。

1.1 影響

この脆弱性が悪用された場合、FortiClient EMSサーバーが完全に制御され、管理者権限でのコマンド実行が可能になります。 その結果、管理下の全エンドポイントへの攻撃が可能となり、EMSからポリシーが変更されたり、マルウェアが配布されたりするおそれがあります。 また、VPN設定の改ざんや社内ネットワークへの横展開（EMSが持つネットワーク情報を利用した他サーバーへの侵入）も起こりえます。 FortiClient EMSは企業のエンドポイント管理の中核を担う製品であるため、EMSが侵害されると管理下の全デバイスが危険にさらされる極めて深刻な脆弱性です。

1.2 深刻度

CVE-2026-35616は、「Critical（クリティカル）」と評価されており、CVSS v3.1ベーススコアは9.1または9.8です。 認証不要でリモートからの任意コード実行が可能である点が、この高い深刻度につながっています。 また、この脆弱性はCISA (米国サイバーセキュリティ・インフラセキュリティ庁) のKnown Exploited Vulnerabilities (KEV) カタログに、「実際に悪用が確認された脆弱性」として追加されており、早急な対応が求められています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンに限定されるものではなく、Fortinet FortiClient EMSのソフトウェアバージョンに依存します。 影響を受けるFortiClient EMSのバージョンは以下の通りです。

  • FortiClient EMS 7.4.5
  • FortiClient EMS 7.4.6

影響を受けないバージョンは以下の通りです。

  • FortiClient EMS 7.2.x ブランチ
  • FortiClient EMS 8.0 ブランチ (情報元によっては言及なしまたは未確認と記載)
  • FortiClient EMS Cloud

2.2 影響を受ける設定

本脆弱性は、FortiClient EMSのAPIコンポーネントにおけるアクセス制御の不備に起因します。 特に、インターネットに公開されているFortiClient EMSインスタンスは、攻撃者にとって魅力的な侵入口となり、高いリスクに晒されます。 認証をバイパスして不正なコードやコマンドを実行できるため、特定のサービスやポートが外部に公開されている設定が影響を受けやすいと考えられます。

3. 影響を受けた時の兆候

FortiClient EMSが侵害された可能性を示す兆候としては、以下のログや動作が挙げられます。

  • FortiClient EMSのアクセスログ：不審なリクエストパターン。
  • Windowsイベントログ：EMSサーバー上での不審なプロセス起動。
  • ネットワークログ：EMSサーバーからの異常な外部通信。
  • FortiClient EMSの管理ポートを標的とした、不正または疑わしいリクエスト（特に予期しないPOSTリクエスト）がネットワークトラフィックで検出される。
  • アプリケーションログにコマンドインジェクションの兆候が見られる。
  • 認証されていない管理者アクション、異常なコマンド実行パターン、確立されたベースラインから逸脱した疑わしいネットワークリクエスト。

4. 推奨対策

4.1 本対策

  • ホットフィックスの即時適用：Fortinetが提供するホットフィックスを直ちに適用することが最優先の対策です。
  • バージョンアップ：影響を受けるバージョン（7.4.5および7.4.6）を、修正が施されたFortiClient EMS 7.4.7以降のバージョンにアップグレードします。

4.2 暫定回避策（緩和策）

  • アクセス制限：FortiClient EMSの管理インターフェースおよびエージェント向けサービスへのアクセスを、信頼できるIPアドレス（自社の拠点IP、管理者の固定IP、特定のVPNセグメントなど）のみに制限します。これはファイアウォールやVPNを活用して実施することが推奨されます。
  • ゼロトラストネットワークアクセス (ZTNA) の検討：適切なデバイス認証を通過した端末のみに通信を許可するアーキテクチャへの移行を検討します。
  • ログの監視：ホットフィックス適用前に既に攻撃を受けていないかをログで確認し、引き続き不審な活動がないか監視を続けます。

5. 他に解説すべき観点

  • ゼロデイ攻撃とCISA KEVへの追加 CVE-2026-35616は、脆弱性が公開される前に既に攻撃で悪用されていた「ゼロデイ脆弱性」であることが確認されています。 米国のCISAは、2026年4月6日付けで本CVEをKnown Exploited Vulnerabilities (KEV) カタログに追加し、連邦民事行政機関 (FCEB) に対して2026年4月9日までの3日間という異例の短さで修正対応を求めました。 これは、本脆弱性の緊急性と深刻度を強く示しています。

  • FortiClient EMSの重要性 FortiClient EMSは、企業のエンドポイント（社内PC・モバイルなど）を一元管理するためのサーバーであり、デバイス管理、セキュリティポリシーの一括配布、VPN設定の管理、コンプライアンス確認、セキュリティイベントの収集など、多岐にわたる機能を担っています。 このシステムが侵害されると、管理下の全エンドポイントが危険にさらされるため、単一サーバーの脆弱性であっても組織全体に与える影響は非常に大きいです。

  • 関連する脆弱性 CVE-2026-21643 本CVE-2026-35616のわずか数週間前にも、FortiClient EMSにおいて別の重大な脆弱性であるCVE-2026-21643（事前認証SQLインジェクション）が公開され、こちらも実際に悪用が確認されています。 両CVEは影響を受けるバージョンが異なるため、自社環境がどちらに該当するかを正しく見極めた上で、段階的な対応が必要となる場合があります。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る