這篇文章要跟各位工程師分享一個關於 FortiClient EMS 的嚴重安全漏洞利用案例。對於許多企業來說，EMS（Endpoint Management Server）是管理大量端點設備的中心，負責推送設定、更新與監控。但如果這個管理中心被攻破，它會從安全防線變成攻擊者的最強助手。
漏洞核心與攻擊路徑
這次攻擊利用的是 CVE-2026-35616，這是一個評分高達 9.1 的關鍵漏洞。其核心問題在於 API 的身分驗證繞過（Pre-authentication API access bypass），也就是攻擊者在沒有正確帳號密碼的情況下，就能直接存取 API 並取得高權限提升（Privilege Escalation）。
對於 junior 工程師來說，可以把這想像成管理後台的門鎖壞了，攻擊者不需要鑰匙就能進去，而且進去後直接拿到了管理員的權限。
將管理路徑武器化
最危險的地方在於攻擊者如何利用這個權限。他們並沒有嘗試逐一入侵每一台員工電腦，而是直接修改 EMS 的管理設定。
具體操作上，攻擊者修改了遠端存取設定檔（Remote Access Profile）與端點策略（Endpoint Policy），將惡意腳本植入其中。由於 EMS 本身就擁有向所有受管端點推送指令的合法權限，攻擊者只需在後台設定好，EMS 就會像發送正常更新一樣，將惡意指令分發到所有連接的設備上。
這種手法將管理路徑武器化，讓每一台受管設備都成了潛在目標，且完全不需要針對每台設備單獨尋找入侵路徑。
偽裝與執行流程
為了避開安全軟體的偵測，攻擊者採取了多層偽裝手段。首先，他們利用 FortiClient 的合法執行檔 fortitray.exe 來啟動一個 cmd 腳本。接著，這個腳本會執行一段經過 Base64 編碼的 PowerShell 腳本，目的是隱藏指令內容，避免被簡單的字串掃描發現。
最終，PowerShell 會下載一個名為 FortiEndpoint_Patch.exe 的檔案。雖然名稱看起來像官方補丁，但實際上是一個資訊竊取軟體（Information Stealer）。
資訊竊取者的運作機制
這個惡意程式專門針對 Chromium 與 Gecko 核心的瀏覽器（例如 Chrome, Edge, Firefox），竊取儲存在瀏覽器中的敏感資訊，包括： 儲存的帳號密碼。 Session Cookies（會話 Cookie），這非常危險，因為攻擊者可以利用 Cookie 繞過多因素驗證 MFA，直接接管使用者的登入狀態。 自動填入的信用卡資訊、地址與電話。
值得注意的是，這個竊取程式本身不具備網路傳輸能力，它僅將資料寫入 ProgramData 目錄下的日誌檔中，最後再由之前的 PowerShell 腳本將這些資料透過 HTTP POST 請求傳送到攻擊者的伺服器。
實務啟示與防禦
這次事件提醒我們，管理平面（Management Plane）的安全性至關重要。當管理伺服器被攻破時，其影響範圍會呈指數級擴大，因為它擁有對所有端點的信任關係。
面對此類威脅，除了立即更新至 FortiClient EMS 7.4.7 或更高版本以修補漏洞外，工程團隊應思考以下防禦策略： 監控異常的 PowerShell 執行行為，特別是從合法管理程式啟動的編碼指令。 實施最小權限原則，限制管理後台的存取來源。 定期審查端點推送策略的變更紀錄，確保沒有未經授權的腳本被加入。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。