- Den kritiske sårbarhed CVE-2026-21643 i FortiClientEMS 7.4.4 tillader SQL-injektion og mulig fjernudførelse af kode uden godkendelse.
- Sårbarheden er relateret til den usikre håndtering af HTTP Site-headeren i middlewaren, som kan udnyttes via det offentlige endpoint /api/v1/init_consts.
- Udnyttelsen kan resultere i fuldstændig kompromittering af administrationsdatabasen, tyveri af legitimationsoplysninger og ændring af politikker, der er distribueret til alle endpoints.
- Afhjælpning involverer opgradering til FortiClientEMS 7.4.5 eller nyere, deaktivering af multi-tenant-tilstand, hvis den ikke kan opdateres med det samme, og begrænsning af adgang til administrationskonsollen.
Sikkerheden på endpoint-styringsplatforme er blevet et kritisk problem for mange virksomheder, og det seneste klare eksempel er Fortinet og deres FortiClient Endpoint Management Server (EMS)-løsning. I de seneste måneder er der blevet opdaget en kritisk SQL-injektionssårbarhed, der påvirker en meget specifik version af produktet, hvilket har skabt betydelig omtale i cybersikkerhedsmiljøet.
I denne artikel vil vi roligt gennemgå, hvad der sker med den kritiske SQL-injektionssårbarhed i Fortinet , hvordan CVE-2026-21643-sårbarheden fungerer, hvilken reel indvirkning den har på organisationer, hvordan den udnyttes i praksis, og frem for alt, hvilke presserende og mellemlangsigtede foranstaltninger du bør implementere, hvis du administrerer infrastrukturer baseret på FortiClientEMS eller lignende produkter.
Kontekst af CVE-2026-21643-sårbarheden i FortiClientEMS
Sårbarheden CVE-2026-21643 er blevet klassificeret som kritisk med en CVSS-score fra 9.1 til 9.8 ifølge forskellige kilder, hvilket placerer den praktisk talt på det højeste alvorlighedsniveau. Fejlen ligger i FortiClient Endpoint Management Server (EMS), den platform, som virksomheder bruger til at implementere og administrere FortiClient-agenter på deres flåder af brugerenheder.
Problemet påvirker specifikt FortiClientEMS version 7.4.4 af 7.4-grenen , når multi-tenant-tilstand ("Sites"-funktionaliteten) er aktiveret. Version 8.0 og 7.2, samt FortiEMS Cloud-instanser, er ikke berørt af denne fejl, så Fortinet har fokuseret alle anbefalinger til afhjælpning på miljøer, der stadig bruger version 7.4.4 on-premises.
Denne SQL-injektion sker på grund af forkert neutralisering af specielle elementer i SQL-sætninger , klassificeret under CWE-89. I praksis tillader det en uautoriseret fjernangriber at sende specielt udformede HTTP-anmodninger og få serveren til at udføre vilkårlige SQL-kommandoer, hvilket kan resultere i fjernkodeudførelse (RCE) med databasebrugerens rettigheder.
Fortinets sikkerhedsrådgivning indikerer, at sårbarheden ligger i FortiClientEMS GUI-komponenten , specifikt den webgrænseflade, som administratorer bruger til at administrere og overvåge endpoints. Det betyder, at enhver instans med en internettilgængelig grænseflade bliver et primært mål for angribere.
Hvordan kritisk SQL-injektion opstår i Fortinet
Roden til problemet er knyttet til en større middleware-refactoring i FortiClientEMS 7.4.4 . Under denne koderevision ændrede udviklerne, hvordan applikationen håndterer forbindelser til PostgreSQL-databasen og lejerrouting, hvilket utilsigtet introducerede en fejl i forbindelsesfilen.
I denne nye logik sender serveren direkte HTTP-header Site til en konsultation search_path af PostgreSQLMålet var at vælge det skema, der svarer til hver lejer, baseret på denne header, men det store problem er, at middlewaren ikke udfører korrekt validering eller rensning af den værdi.
Som følge heraf kan en angriber ødelægge det tilsigtede strengformat og indsætte sin egen ondsindede nyttelast i SQL-sætningen, hvorved vilkårlige kommandoer injiceres, som databasen udfører med de høje rettigheder, som tjenestebrugeren har konfigureret i den virtuelle Fortinet-maskine.
Risikoen forstærkes yderligere, fordi denne sårbare middleware udføres før nogen form for godkendelsestjek . Med andre ord er der ingen grund til at logge ind eller have legitimationsoplysninger: blot at sende en manipuleret HTTPS-anmodning med en ændret Site-header er nok til at forsøge at udnytte sårbarheden.
Dette mønster passer perfekt til et CVSS 3.1-scenarie med AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H , hvor angrebet ankommer via netværket, har lav kompleksitet, ikke kræver forudgående rettigheder eller brugerinteraktion og fuldstændig kompromitterer det berørte systems fortrolighed, integritet og tilgængelighed.
Angrebsvektor: endpoint /api/v1/init_consts og Site header
Sikkerhedsforskere, såsom Bishop Fox' team, har forklaret, at den mest praktiske angrebsvektor findes ved slutpunktet. offentligt tilgængelig /api/v1/init_consts, en FortiClientEMS API-rute, der bruges under initialisering af grænsefladen.
Angribere kan først bruge dette endpoint til at Kontroller, om multi-tenant-tilstand er aktiveretHvis de opdager, at Sites-funktionaliteten er aktiveret, fortsætter de med at injicere SQL-nyttelaster via HTTP-headeren. Site, udnytter det faktum, at værdien overføres uden oprydning til sætningen search_path.
Dette endpoint har adskillige designfejl: for det første mangler det hastighedsbegrænsende mekanismer og specifikke brute-force-forsvar; for det andet returnerer det direkte fejlmeddelelser genereret af PostgreSQL i svarteksten. Dette gør livet meget lettere for en angriber.
Ved at modtage disse fejl så eksplicit kan en ondsindet aktør udføre fejlbaserede udtrækningsteknikker i en enkelt anmodning uden at skulle ty til de meget langsommere, tidsbaserede injektioner. Dette gør det muligt at optælle følsomme tabeller, kolonner og data ekstremt hurtigt.
Hvis udnyttelsen lykkes, opnår angriberen et scenarie med fuldstændig kompromittering af endpoint-administrationsdatabasen . Da databasebrugeren kører med PostgreSQL-superbrugerrettigheder, kan de ikke blot eksfiltrere information, men også eskalere til fjernudførelse af kode på det underliggende operativsystem.
Reel indflydelse på organisationen og administrerede endpoints
Virkningen af denne sårbarhed rækker langt ud over en simpel datalækage. Muligheden for at udføre vilkårlig SQL på FortiClientEMS-databasen giver angribere mulighed for at stjæle administratoradgangskoder, digitale certifikater og komplette opgørelser over enheder, der er tilsluttet platformen.
Med det adgangsniveau kan en trusselsaktør ændre sikkerhedspolitikker og distribuere skadelige konfigurationer til alle administrerede slutpunkter. Dette åbner døren for komplekse scenarier, hvor organisationens egne sikkerhedsagenter bliver en angrebsvektor i det interne netværk.
Derudover påvirker kompromitteringen af administrationsdatabasen også fortroligheden af de lagrede data (f.eks. oplysninger om brugere, udstyr, politikker og certifikater), integriteten (ændring af regler, skabeloner og tildelinger) og tilgængeligheden (mulig sletning af data eller sabotage af administrationsserveren).
Denne trussel passer ind i den stadig mere almindelige tendens til angreb mod edge-enheder og administrationssystemer , som er højt værdsat af cyberkriminelle, fordi de fungerer som informationskoncentratorer og kontrollerer store mængder af endpoints.
Af alle ovenstående grunde har Fortinet klassificeret denne sårbarhed som kritisk, og sikkerhedsagenturer og -firmaer anbefaler at behandle enhver eksponeret FortiClientEMS 7.4.4-instans som et aktiv med maksimal risiko, indtil det modsatte er bevist.
Aktiv udnyttelse og eksponeringsområde
Selvom nogle indledende rapporter indikerede, at der ikke var blevet opdaget nogen aktiv udnyttelse, bekræftede forskere fra firmaet Defused faktiske angreb, der udnyttede CVE-2026-21643, blot fire dage før sårbarheden blev offentliggjort.
Data indsamlet af organisationer som Shadowserver viser, at cirka 2.000 FortiClientEMS-instanser var direkte eksponeret for internettet på overvågningstidspunktet. USA førte statistikken med omkring 756 sårbare servere, efterfulgt af Europa med over 680. Shodan opdagede også mere end 1.000 offentligt tilgængelige FortiClientEMS-webgrænseflader, hvoraf mange sandsynligvis ikke var opdateret.
Den officielle NIST-registreringsdatabase for CVE-2026-21643 understøtter denne ekstreme alvorlighedsgrad og viser en AV:N/AC:L/PR:N/UI:N-vektor med stor indflydelse på C, I og A. Dette antyder, at enhver FortiClientEMS 7.4.4-server med en åben webgrænseflade kan blive fuldstændig kompromitteret uden at angriberen behøver legitimationsoplysninger eller skal overbevise nogen bruger om at klikke på noget.
Defused rapporterede disse angreb den 28. marts og bemærkede også, at sårbarheden på trods af dette endnu ikke var opført i CISAs KEV-katalog (Known Exploited Vulnerabilities) eller andre offentlige lister over aktivt udnyttede fejl, noget der normalt sker i disse indledende udnyttelsesvinduer.
På den anden side havde Fortinet allerede udgivet den korrigerende patch i februar med version 7.4.5, hvilket tydeliggør det tilbagevendende mønster inden for cybersikkerhed: der er et betydeligt tidsrum mellem tilgængeligheden af rettelsen og dens faktiske implementering i produktion, en periode hvor angribere udnytter det til at kompromittere systemer, der stadig ikke er opdaterede.
Indikatorer for kompromittering og tegn på angreb
For administratorer, der administrerer FortiClientEMS, er det afgørende at forstå de spor, der efterlades af et potentielt forsøg på udnyttelse. Nøgleindikatorer for kompromittering (IoC'er) omfatter følgende:
Først fremhæver de usædvanligt lange svartider, fra 5 til over 20 sekunder, på endepunkterne /api/v1/auth/signin o /api/v1/init_consts, som det ses i adgangsloggene for Apache eller en anden webserver, der er foran.
Det er også et advarselstegn at se Gentagne HTTP 500-svar fra den samme IP-adresse mod endepunktet /api/v1/init_constsDette mønster kan indikere, at en angriber finjusterer sine SQL-injektionsdata gennem trial and error, indtil de finder en, der fungerer og ikke genererer fejl.
Derudover er det værd at kigge i PostgreSQL-fejlloggene. konsultationer search_path med enkelte anførselstegn, semikolon eller SQL-nøgleord som SELECT, INSERT o UPDATE uden for den forventede kontekst. Denne type spor peger normalt direkte på et forsøg på at manipulere webstedsheaderen.
Som en reaktionsforanstaltning bør enhver FortiClientEMS 7.4.4-server, der har været eksponeret for internettet uden korrekte opdateringer, behandles som potentielt kompromitteret . Dette indebærer at isolere den fra netværket, udføre en detaljeret retsmedicinsk analyse (database, operativsystem og logfiler) og planlægge en kontrolleret rekonstruktion af miljøet, hvis der findes tegn på indtrængen.
Øjeblikkelig afhjælpning og officiel løsning fra Fortinet
Den primære afhjælpningsforanstaltning er klar: opdater FortiClientEMS 7.4.4 til version 7.4.5 eller højere så hurtigt som muligt. Fortinet løste sårbarheden ved at erstatte strenginterpolation i forespørgslen med korrekt håndtering af parametriserede identifikatorer og sikkert escape input fra Site-headeren.
Version 8.0 og 7.2, samt FortiEMS Cloud, kræver ikke yderligere handling , da de ikke er berørt af denne specifikke sårbarhed. Alligevel er det stadig en god idé at gennemgå din interneteksponering og adgangskonfigurationer, da angrebsfladen for administrationskonsoller altid bør minimeres.
For teams, der af driftsmæssige årsager ikke kan installere programrettelsen med det samme, anbefaler nogle forskere en midlertidig afhjælpning: deaktivering af multi-tenant-funktionen "Sites" . Denne handling forhindrer udførelsen af den sårbare kodesti, der er knyttet til Site-headeren, hvilket reducerer de udnyttelige muligheder betydeligt.
Ligeledes er det vigtigt at begrænse webadgangen til EMS-administrationsgrænsefladen til kun betroede interne netværk . Ideelt set bør konsollen placeres bag en VPN eller en zero-trust-adgangsmekanisme og aldrig efterlades direkte eksponeret for internettet undtagen i meget ekstraordinære og korrekt sikrede tilfælde.
Derudover anbefales det at gennemgå og styrke firewallregler og eventuelle WAF'er foran FortiClientEMS , anvende filtre, der blokerer typiske SQL-injektionsmønstre i HTTP-headere, især i Site-headeren, og nøje overvåge eventuelle anomale API-anmodninger.
Gode sikkerhedspraksisser ud over programrettelsen
Ud over blot at implementere programrettelser og specifikke afhjælpningsforanstaltninger, gør denne hændelse det klart, at sårbarhedsstyring skal være en løbende proces , ikke blot en engangsreaktion på en leverandøranbefaling. Organisationer, der er afhængige af endpoint-styringsplatforme og netværkssikkerhedsløsninger, bør styrke deres strategi på flere fronter.
På den ene side er det vigtigt at have en opdateret oversigt over aktiver og versioner , så det, når en kritisk CVE offentliggøres, er muligt at identificere på få minutter, hvilke systemer der er sårbare, og prioritere deres opdatering i henhold til eksponeringsniveau og kritikalitet.
På den anden side er det tilrådeligt at vælge periodiske penetrationstests og arkitekturgennemgange , der ikke kun validerer selve produktets robusthed, men også hvordan det implementeres: netværkssegmentering, adskillelse af administrationsplaner, adgangsbegrænsninger, centraliseret logovervågning og detektion af unormal adfærd.
Fra et udviklingsperspektiv demonstrerer denne case igen vigtigheden af at anvende sikre udviklingspraksisser og regressionstest, når der udføres en dybdegående refaktorering af middleware eller kritiske komponenter. Forbedringer af ydeevne eller skalerbarhed kan ikke ledsages af et tilbageskridt i så grundlæggende mekanismer som inputrensning.
Virksomheder, der specialiserer sig i cybersikkerhed og sikker udvikling, tilbyder koderevision, penetrationstest og konsulenttjenester, der er specifikt designet til at opdage disse sårbarheder, før de når produktion. I miljøer, der kombinerer lokal infrastruktur, cloud- og edge-enheder, gør det ofte hele forskellen at stole på eksterne eksperter.
Endelig er det på governance- og forretningsniveau meget nyttigt at have dashboards og business intelligence , der muliggør visualisering af sårbarheder, eksponering af ledelsesgrænseflader og den potentielle indvirkning af en kritisk fejl på organisationens processer. Denne tilgang gør det lettere at prioritere investeringer og retfærdiggøre forebyggende foranstaltninger, der ved første øjekast kan virke dyre, men som sparer mange problemer på mellemlang sigt.
Kombinationen af en alvorlig designfejl, en stor angrebsflade og den sædvanlige forsinkelse i patching gør CVE-2026-21643 til et eksempel på, hvorfor sikkerhed i administrationskonsoller aldrig bør undervurderes. Enhver organisation, der bruger FortiClientEMS eller lignende løsninger, bør tage denne hændelse som et vækkeur til at gennemgå sin sikkerhedsstilling, fremskynde sine opdateringscyklusser og styrke forsvaret omkring sine administrationsplatforme, før endnu en zero-day-sårbarhed eller SQL-injektion igen sætter dem i en ulempe.
