FortiClient EMS: Aktiv ausgenutzter Zero-Day (CVE-2026-35616) – erst ein Hotfix, noch kein Vollpatch

CVSS 9.8, unauthentifiziert, im CISA-KEV-Katalog – fast 2.000 Instanzen hängen offen im Netz

In Fortinets zentralem Verwaltungsserver FortiClient EMS klafft eine unauthentifizierte Remote-Code-Execution-Lücke mit CVSS 9.8. Sie wird nachweislich seit Ende März 2026 aktiv ausgenutzt, steht im CISA-KEV-Katalog – und bislang gibt es nur einen Notfall-Hotfix, keinen vollständigen Patch. Wer EMS im Einsatz hat, muss jetzt handeln.

⚡ Sofortmaßnahme: Spielen Sie Fortinets Notfall-Hotfix umgehend ein und nehmen Sie die EMS-Verwaltungsoberfläche vom offenen Internet. Prüfen Sie die Instanz auf Kompromittierungsspuren – bei einem aktiv ausgenutzten Zero-Day ist „nur patchen“ nicht genug.

Worum es geht

FortiClient EMS (Enterprise Management Server) verwaltet zentral die FortiClient-Endpunkte eines Unternehmens – ein System also, das per Design mit vielen Clients spricht und häufig erreichbar aufgestellt ist. Genau deshalb ist eine unauthentifizierte RCE hier so brisant: Ein Angreifer benötigt keine Zugangsdaten und keine Benutzerinteraktion, um Code auf dem Server auszuführen. Von dort ist der Weg zu den verwalteten Endpunkten kurz.

CVE	CVE-2026-35616
Produkt	Fortinet FortiClient EMS
Typ / CVSS	Unauthentifizierte RCE · 9.8 (Kritisch)
Ausnutzung	Erste Versuche ab 31. März 2026, deutliche Zunahme ab 6. April
Patch-Status	Notfall-Hotfix verfügbar · Vollpatch angekündigt, noch offen
Exposition	~2.000 öffentlich erreichbare EMS-Instanzen (Shadowserver)
Status	im CISA-KEV-Katalog

Kurz gesagt: Ein aktiv ausgenutzter, unauthentifizierter 9.8er in einem Management-Server, für den es noch keinen finalen Patch gibt – das ist die Sorte Lücke, die Ransomware-Affiliates für den Erstzugang lieben. Der Notfall-Hotfix ist Pflicht, die Netzwerk-Exposition der eigentliche Hebel.

Warum „nur den Hotfix einspielen“ nicht reicht

Bei einer Lücke, die schon vor Verfügbarkeit eines Fixes ausgenutzt wurde, muss man davon ausgehen, dass exponierte Instanzen bereits berührt wurden. Der Hotfix schließt das Loch, entfernt aber keinen bereits platzierten Zugang. Nach dem Einspielen gehört deshalb eine Kompromittierungsprüfung dazu: ungewöhnliche Prozesse und Dienste auf dem EMS-Server, neue oder veränderte Administratorkonten, auffällige ausgehende Verbindungen und Einträge in den EMS-Logs. Im Zweifel ist ein sauberer Neuaufbau der ehrlichere Weg als die Hoffnung, der Angreifer sei schon wieder weg.

Was Sie jetzt tun sollten

Hotfix einspielen: Fortinets Notfall-Update auf allen EMS-Instanzen – höchste Priorität.
Exposition beenden: EMS-Verwaltung nie offen ins Internet stellen. Zugriff auf VPN, Management-Netz oder eine kleine IP-Allowlist beschränken.
Kompromittierung ausschließen: Prozesse, Konten, Logs und ausgehende Verbindungen prüfen. Bei Verdacht Incident-Response-Prozess starten.
Auf Vollpatch vorbereiten: Fortinet-Advisories abonnieren und den finalen Patch einplanen, sobald er erscheint.
Perimeter inventarisieren: Suchen Sie systematisch nach allen von außen erreichbaren Management-Oberflächen – EMS ist selten die einzige.

Fazit

Sicherheitsprodukte sind selbst zum bevorzugten Angriffsziel geworden – und FortiClient EMS ist das jüngste Beispiel. Ein unauthentifizierter 9.8er, aktiv ausgenutzt, mit KEV-Eintrag und ohne finalen Patch: Diese Kombination duldet keinen Aufschub. Die wichtigste Sofortmaßnahme kostet nichts und kein Wartungsfenster – nehmen Sie die Verwaltungsoberfläche aus dem Internet. Das ist der Unterschied zwischen „theoretisch verwundbar“ und „morgen verschlüsselt“.

Ob Ihre Umgebung von aktuell ausgenutzten Lücken wie dieser betroffen ist, prüfen Sie zentral mit dem ISW CVE Vulnerability Scanner – inklusive Abgleich gegen den CISA-KEV-Katalog.