Fortinet ha emitido un parche de emergencia después de que investigadores de seguridad revelaran una vulnerabilidad crítica de día cero en FortiClient EMS que ya está siendo explotada activamente por actores maliciosos. Identificada como CVE-2026-35616 y con una puntuación CVSSv3 de 9.1 (Crítica), la falla permite a atacantes no autenticados eludir por completo los controles de autenticación y autorización de la API, lo que les posibilita ejecutar código arbitrario

Fortinet ha emitido un parche de emergencia después de que investigadores de seguridad revelaran una vulnerabilidad crítica de día cero en FortiClient EMS que ya está siendo explotada activamente por actores maliciosos.

Registrada como CVE-2026-35616 y con una puntuación CVSSv3 de 9.1 (Crítica), la falla permite a atacantes no autenticados eludir por completo la autenticación y los controles de autorización de la API, lo que les permite ejecutar código o comandos arbitrarios en sistemas vulnerables.

La vulnerabilidad, clasificada bajo CWE-284 (Control de Acceso Impropio), reside en la capa de API de FortiClient Endpoint Management Server (EMS).

La explotación exitosa no requiere autenticación previa, interacción del usuario ni privilegios elevados, lo que la hace especialmente peligrosa para organizaciones con implementaciones de EMS expuestas a Internet.

Un atacante remoto no autenticado puede enviar solicitudes API especialmente diseñadas para eludir todas las verificaciones de autenticación y autorización, obteniendo así control total sobre las operaciones de gestión de endpoints.

El vector de ataque es basado en red, la complejidad es baja y el impacto abarca las condiciones de confidencialidad, integridad y disponibilidad, lo que justifica su puntuación CVSS casi máxima.

El aviso de Fortinet (FG-IR-26-099) enumera el impacto principal de la vulnerabilidad como escalada de privilegios, con explotación activa en la naturaleza confirmada por el proveedor.

Versiones afectadas de Fortinet FortiClient EMS

Solo las versiones 7.4.5 y 7.4.6 de FortiClient EMS están afectadas. FortiClient EMS 7.2.x no está afectado y no requiere ninguna acción. La próxima versión FortiClient EMS 7.4.7 incluirá una solución permanente, pero Fortinet ha puesto a disposición parches de emergencia de inmediato para ambas ramas afectadas mientras se finaliza ese lanzamiento.

La vulnerabilidad fue descubierta por Simo Kohonen de la firma de inteligencia de amenazas Defused y el investigador independiente Nguyen Duc Anh.

Defused observó explotación activa de la falla a principios de esta semana antes de reportarla a Fortinet bajo protocolos de divulgación responsable. El descubrimiento se realizó utilizando la próxima función Radar de Defused, que se lanzará la próxima semana y está diseñada para detectar actividad de explotación novedosa en tiempo real.

Nueva vulnerabilidad de Fortinet siendo explotada como 0-day

CVE-2026-35616 – Bypass de acceso a la API de FortiClient EMS sin autenticación previa – CVSS 9.1 Crítica

Tras observar explotación en la naturaleza de esta vulnerabilidad a principios de esta semana, Defused la reportó a Fortinet bajo… pic.twitter.com/GUk5fCAx91

— Defused (@DefusedCyber) 4 de abril de 2026

Tras recibir el informe, Fortinet actuó rápidamente, publicando su aviso y lanzando el parche de emergencia el 4 de abril de 2026, el mismo día de la publicación inicial.

Fortinet instalemente a todos los clientes que ejecutan versiones afectadas a aplicar el parche de emergencia de inmediato. Las instrucciones detalladas de instalación están disponibles en las notas de lanzamiento oficiales de FortiClient EMS para cada versión afectada:

• FortiClient EMS 7.4.5: Sigue las instrucciones del parche en las notas de lanzamiento de EMS 7.4.5 a través del portal de documentación de Fortinet
• FortiClient EMS 7.4.6: Sigue las instrucciones del parche en las notas de lanzamiento de EMS 7.4.6 a través del portal de documentación de Fortinet

Las organizaciones también deben monitorear los registros de EMS en busca de actividad API anómala, especialmente solicitudes no autenticadas que puedan indicar intentos de explotación previos.

Cuando sea posible, restringir el acceso externo a la interfaz de gestión de EMS en el perímetro de la red añade una capa de defensa significativa mientras se completa la aplicación de parches.

Fuentes:
https://cybersecuritynews.com/fortinet-forticlient-ems-0-day/