La Fundación Shadowserver ha emitido una advertencia urgente a los administradores de FortiClient Enterprise Management Server (EMS) tras identificar más de 2,000 instancias accesibles públicamente en todo el mundo, dos de las cuales ya están siendo explotadas activamente mediante vulnerabilidades críticas de ejecución remota de código (RCE) sin autenticación. Las dos vulnerabilidades, CVE-2026-35616 y CVE-2026-21643, ambas clasificadas como fallos de RCE sin autenticación.

La Fundación Shadowserver ha emitido una advertencia urgente a los administradores de FortiClient Enterprise Management Server (EMS) tras identificar más de 2.000 instancias accesibles públicamente en todo el mundo, dos de las cuales ya están siendo explotadas activamente mediante vulnerabilidades críticas de ejecución remota de código (RCE) sin autenticación.

Dos vulnerabilidades, CVE-2026-35616 y CVE-2026-21643, ambas clasificadas como fallos RCE sin autenticación, han sido explotadas en la naturaleza, afectando a la plataforma FortiClient EMS de Fortinet.

CVE-2026-35616 es una vulnerabilidad recién revelada, mientras que CVE-2026-21643 ha estado bajo escrutinio en las últimas semanas. Lo más crítico es que ambas ya están confirmadas como explotadas en la naturaleza, lo que significa que actores maliciosos las están utilizando activamente contra implementaciones sin parches, sin necesidad de credenciales.

Las vulnerabilidades RCE sin autenticación se encuentran entre las clases más graves de fallos de seguridad. Un atacante puede ejecutar código arbitrario de forma remota en un servidor vulnerable sin necesidad de un nombre de usuario o contraseña, lo que podría otorgarle control total sobre el sistema afectado y los endpoints que gestiona.

Escala de exposición: 2.000 instancias a nivel global

Utilizando su red global de sensores, Shadowserver identificó aproximadamente 2.000 instancias de FortiClient EMS expuestas en internet. Estados Unidos y Alemania encabezan la lista de países afectados, según los datos del panel público de Shadowserver.

Dado que FortiClient EMS es una solución de gestión de endpoints empresariales utilizada para administrar centralmente clientes VPN de Fortinet y políticas de seguridad en grandes organizaciones, esta exposición conlleva implicaciones significativas para las redes corporativas.

Un servidor EMS comprometido podría permitir a los atacantes manipular configuraciones de endpoints, distribuir actualizaciones de políticas maliciosas, robar credenciales de VPN y establecer puntos de apoyo persistentes en toda la flota de endpoints de una organización.

Esta última alerta es consistente con una tendencia más amplia de actores maliciosos que atacan la infraestructura de Fortinet. Los productos de Fortinet han aparecido repetidamente en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA, y grupos estatales junto con operadores de ransomware han priorizado históricamente los fallos de Fortinet para obtener acceso inicial a entornos empresariales.

Acciones recomendadas para administradores

Las organizaciones que utilicen FortiClient EMS deben tomar las siguientes medidas de inmediato:

• Aplicar parches publicados por Fortinet que solucionan CVE-2026-35616 y CVE-2026-21643 sin demora.
• Restringir el acceso desde internet a la interfaz de gestión de EMS mediante reglas de firewall o acceso protegido por VPN.
• Revisar registros en busca de actividad anómala, cambios no autorizados en la configuración o conexiones salientes inesperadas.
• Monitorear el panel de Shadowserver para obtener inteligencia continua sobre la exposición relacionada con tus rangos de red.
• Habilitar alertas de detección de amenazas a través de tu plataforma SIEM o EDR para indicadores asociados con estas CVE.

Fortinet ha instado a sus clientes a consultar sus avisos de seguridad oficiales y actualizar a las versiones parcheadas del firmware de inmediato. Dada la explotación confirmada en la naturaleza, la remediación tardía no es una opción.