Una prueba de concepto (PoC) pública para **CVE-2026-35616**, un bypass crítico de autenticación y autorización en Fortinet FortiClient Endpoint Management Server (EMS), permite a los defensores comprobar si los sistemas afectados están expuestos.

El repositorio de la herramienta de Python indica que el fallo puede permitir el acceso no autenticado a endpoints de API protegidos. Fortinet ha confirmado que la vulnerabilidad ha sido explotada en entornos reales, por lo que aplicar los parches rápidamente es la prioridad para las organizaciones que utilicen las versiones afectadas.

La PoC está publicada en GitHub y señala que las versiones 7.4.5 y 7.4.6 de FortiClient EMS están afectadas. Su archivo README identifica la versión 7.4.7 como la que contiene la solución.

Proporciona una interfaz de línea de comandos que acepta un objetivo y un puerto opcional. El autor advierte que las pruebas deben limitarse a sistemas que cuenten con un permiso explícito por escrito.

Fortinet clasifica el CVE-2026-35616 como un control de acceso inadecuado, o CWE-284. En términos prácticos, un usuario remoto sin credenciales válidas puede enviar solicitudes manipuladas que **eviten las protecciones de la API de EMS** y ejecuten código o comandos no autorizados.

El riesgo es grave porque el EMS gestiona los despliegues de FortiClient, por lo que un compromiso podría dar a un atacante acceso a un sistema central de administración de endpoints.

Lanzada PoC para la vulnerabilidad de FortiClient EMS

El problema afecta a FortiClient EMS desde la versión 7.4.5 hasta la 7.4.6. Fortinet afirma que la rama 7.2 no está afectada, y que FortiClient Cloud y FortiSASE ya han sido remediados. Debes confirmar el producto y la versión exacta que operas en lugar de aplicar el aviso a cada servicio de Fortinet.

El repositorio de GitHub compartido por Alaatk incluye un script de Python e instrucciones para ejecutarlo contra un host específico, con un puerto opcional. Esto hace que el código sea relevante para los equipos de seguridad que validen sus propios sistemas.

Sin embargo, el código de explotación público también puede ayudar a usuarios no autorizados a probar servidores expuestos. El repositorio no indica cuántos sistemas son vulnerables ni confirma si alguna organización ha sido comprometida.

El aviso de Fortinet es la referencia clave para la remediación. Insta a los clientes con versiones 7.4.5 y 7.4.6 a instalar los hotfixes pertinentes. Indica que la solución está incluida en la versión 7.4.7 o posterior. Debes seguir las instrucciones para tu versión exacta y verificar la versión resultante después del mantenimiento.

También deberías limitar el acceso a la interfaz de gestión de EMS a redes confiables, revisar los logs disponibles en busca de solicitudes de API inusuales o cambios inesperados, e investigar señales de actividad no autorizada.

Si el servidor era accesible desde internet mientras no estaba parcheado, tu equipo debería priorizar su revisión. Una prueba de PoC puede confirmar la exposición, pero no debe sustituir al parcheo o a una comprobación de compromiso más amplia.

El paso más importante es identificar todos los **despliegues de FortiClient EMS** y determinar si alguno ejecuta la versión 7.4.5 o 7.4.6. Aplica el hotfix del proveedor o actualiza a la versión 7.4.7 o posterior, y luego confirma el cambio. No ejecutes la PoC contra sistemas ajenos a tu organización o sin autorización por escrito.

Para obtener contexto adicional, consulta la cobertura de CybersecurityNews sobre el **zero-day de FortiClient EMS y el hotfix de emergencia** y su informe sobre instancias expuestas de FortiClient EMS. El aviso oficial de PSIRT de Fortinet y el repositorio de la PoC de CVE-2026-35616 proporcionan las referencias técnicas y de remediación primarias