Já está disponível um código público de prova de conceito (PoC, do inglês proof of concept) para a falha CVE-2026-35616 (sigla de Common Vulnerabilities and Exposures, ou vulnerabilidades e exposições comuns), um bypass crítico de autenticação no Fortinet FortiClient Endpoint Management Server (EMS), servidor de gerenciamento de endpoints da Fortinet. A falha vem sendo explorada na prática desde o primeiro semestre de 2026.
Bypass de autenticação no FortiClient EMS
Segundo detalhes publicados pelo usuário do GitHub Alaatk, um repositório intitulado “CVE-2026-35616 FortiClient EMS Pre-Auth Bypass” contém um script em Python (cve_2026_35616.py), um README e uma captura de tela.
De acordo com o README, o script dá acesso não autenticado a endpoints protegidos de interface de programação de aplicações (API). No momento em que este texto foi escrito, o repositório tinha 40 estrelas e 11 bifurcações (forks).
O script exige os pacotes requests, urllib3 e cryptography, além do OpenSSL no PATH do sistema. O uso é feito com python3 cve_2026_35616.py [porta]. O README afirma que a ferramenta é destinada apenas a testes autorizados.
A afirmação do repositório de que a exploração funciona não foi validada de forma independente. O README não informa taxa de sucesso e não demonstra que o script alcança todos os impactos descritos pela Fortinet.
A CVE-2026-35616 é uma falha de controle de acesso inadequado (CWE-284, sigla de Common Weakness Enumeration, ou enumeração de fraquezas comuns) nas versões 7.4.5 a 7.4.6 do FortiClient EMS. Um atacante sem autenticação pode enviar requisições forjadas para executar código ou comandos não autorizados. A Fortinet atribui nota 9,1 no CVSS (Common Vulnerability Scoring System, sistema de pontuação de vulnerabilidades comuns), enquanto o NVD (National Vulnerability Database, banco nacional de vulnerabilidades dos EUA) registra 9,8, classificada como crítica.
A análise da Bishop Fox aponta como causa raiz a autenticação baseada em certificado. Um atacante pode falsificar cabeçalhos de requisições HTTP (protocolo de transferência de hipertexto) que a aplicação em Django trata como equivalentes às variáveis de ambiente WSGI (Web Server Gateway Interface) do Apache mod_ssl.
Outro repositório público identifica o cabeçalho falsificado como X-SSL-CLIENT-VERIFY. Outro pesquisador descreve o problema como um erro de confiança em cabeçalho por trás de um proxy reverso Apache. Esse proxy deveria encerrar o TLS mútuo (Transport Layer Security, protocolo de segurança de camada de transporte) e repassar ao backend o resultado da verificação do certificado do cliente.
A Fortinet publicou o comunicado FG-IR-26-099 em 4 de abril de 2026 e afirmou ter observado exploração. O The Register informou que a falha era considerada sob ataque desde pelo menos 31 de março e que teria sido usada como falha de dia zero.
A CISA (Agência de Segurança Cibernética e de Infraestrutura dos EUA) incluiu a falha no catálogo de vulnerabilidades exploradas conhecidas (KEV, sigla em inglês para Known Exploited Vulnerabilities) em 6 de abril, com prazo de correção para as agências federais até 9 de abril. Reportagens posteriores também descrevem atividade de exploração adicional observada em maio de 2026.
Código de exploração público reduz a barreira para atacantes menos experientes. A varredura oportunista de servidores EMS expostos à internet deve aumentar.
Um servidor EMS comprometido pode dar a atacantes acesso administrativo à API. Esse acesso pode levar à execução de código em endpoints gerenciados em toda a empresa.
A Fortinet recomenda atualizar para o FortiClient EMS 7.4.7 ou versão posterior. A empresa também disponibiliza hotfixes para as versões 7.4.5 e 7.4.6, que, segundo ela, impedem totalmente a exploração. O FortiClient Cloud e o FortiSASE foram corrigidos pela própria Fortinet, e por isso os clientes não precisam tomar nenhuma providência.
As medidas recomendadas incluem aplicar patch ou hotfix imediatamente em todos os servidores EMS 7.4.5 e 7.4.6; remover as interfaces de gerenciamento do EMS da exposição direta à internet e restringir o acesso a redes confiáveis; revisar os logs web e de API em busca de requisições incomuns, especialmente cabeçalhos de certificado de cliente falsificados, retroagindo até 31 de março de 2026; verificar servidores EMS e endpoints gerenciados quanto a comandos inesperados, novas contas de administrador ou implantações de software não autorizadas; e tratar qualquer servidor sem correção voltado à internet como potencialmente comprometido, iniciando a resposta a incidentes.
O comunicado da CSA de Singapura (Cyber Security Agency of Singapore) também alerta que uma exploração bem-sucedida pode comprometer totalmente o servidor EMS.
