Una vulnerabilidad crítica de inyección SQL en el servidor de gestión de endpoints FortiClient EMS de Fortinet, identificada como CVE-2026-21643, está siendo explotada activamente. Actores maliciosos han estado aprovechando esta falla en ataques iniciados hace cuatro días, a pesar de que aún no aparece en el catálogo de Vulnerabilidades Explotadas Conocidas de la CISA. La falla de seguridad afecta a la versión 7.4.4 de FortiClient EMS, 

Una vulnerabilidad crítica de inyección SQL en el FortiClient Endpoint Management Server (EMS) de Fortinet, registrada como CVE-2026-21643, está siendo explotada activamente en la naturaleza.

Actores de amenazas han estado aprovechando esta falla en ataques desde hace cuatro días, a pesar de que aún no aparece en el catálogo de Vulnerabilidades Explotadas Conocidas de CISA.

La vulnerabilidad de seguridad afecta a la versión 7.4.4 de FortiClient EMS, dejando los sistemas expuestos a comandos remotos no autorizados.

Fortinet ha asignado a este problema una puntuación CVSS crítica de 9.1, reflejando su grave impacto potencial en entornos empresariales. Los detalles estructurados de la vulnerabilidad se describen a continuación para ayudar a los equipos de seguridad con la clasificación rápida de amenazas.

Vulnerabilidad en FortiClient EMS explotada

La telemetría reciente de Defused Cyber confirma que las campañas de explotación dirigidas a servidores expuestos a Internet ya han comenzado.

Según datos de Shodan, casi 1.000 instancias de FortiClient EMS están actualmente expuestas públicamente, proporcionando una superficie de ataque considerable para los actores de amenazas.

En los ataques observados, los actores de amenazas están eludiendo los controles de seguridad introduciendo sentencias SQL maliciosas a través del encabezado Site dentro de una solicitud HTTP GET.

Una carga útil registrada dirigida al endpoint /api/v1/init_consts muestra a los atacantes inyectando comandos como Site: x'; SELECT pg_sleep(4)--. Este ataque específico se observó desde la dirección IP del actor de amenazas 104.192.92.135.

Descubierta internamente por Gwendal Guégniaud del equipo de Seguridad de Producto de Fortinet, la falla fue divulgada oficialmente el 6 de febrero de 2026.

La vulnerabilidad surge de la neutralización incorrecta de elementos especiales dentro de comandos SQL en la interfaz web administrativa de FortiClient EMS. Debido a que el software no sanitiza adecuadamente la entrada proporcionada por el usuario, los atacantes no autenticados pueden ejecutar código arbitrario de forma remota.

Los atacantes no autenticados pueden explotar esta falla sin credenciales válidas, lo que les permite comprometer completamente los servidores de gestión de endpoints vulnerables.

La explotación exitosa permite a los actores de amenazas robar datos empresariales sensibles, desplegar cargas útiles de malware secundarias o moverse lateralmente a través de la red interna. La falta de requisitos de autenticación convierte esto en un objetivo altamente atractivo para los brokers de acceso inicial y los afiliados de ransomware.

Los equipos de seguridad deben monitorear activamente los registros de tráfico de red en busca de solicitudes HTTP GET anómalas dirigidas a la interfaz administrativa.

Los defensores deben buscar específicamente caracteres inesperados o comandos SQL inyectados en el encabezado Site, particularmente intentos de ejecutar funciones de inyección SQL basadas en tiempo. Identificar estos indicadores específicos de compromiso es crucial para detectar intentos de acceso no autorizado antes de que ocurra una explotación completa.

Los administradores de sistemas deben inventariar rápidamente su superficie de ataque externa para identificar cualquier implementación expuesta públicamente que ejecute la versión 7.4.4. Actualizar a la versión 7.4.5 es la única mitigación definitiva, y las organizaciones deben priorizar esta actualización dentro de sus ciclos de gestión de parches de emergencia. Las versiones 7.2 y 8.0 de FortiClient EMS, así como los entornos de FortiEMS Cloud, no se ven afectados por esta falla de seguridad.