文章总结： Fortinet紧急修复FortiClientEMS高危漏洞CVE-2026-35616，该访问控制漏洞允许未认证攻击者远程执行代码且已被在野利用。影响版本为7.4.5-7.4.6，需立即安装官方热补丁或升级至7.4.7。CISA已将其列入已知利用清单并要求联邦机构在4月9日前完成修复。 综合评分： 85 文章分类： 漏洞预警,应急响应,漏洞分析,解决方案,威胁情报

Fortinet 紧急修复已遭利用的 FortiClient EMS 严重漏洞

综合编译 综合编译

代码卫士

2026年4月7日 18:07 北京

  聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

上周末，Fortinet 公司紧急修复了一个已遭利用的FortiClient 企业管理服务器（EMS）高危漏洞CVE-2026-35616。该漏洞是访问控制不当问题，可导致未经过身份验证的攻击者通过发送特殊构造的请求执行代码或命令。Fortinet 于上周六修复该漏洞，并确认该漏洞已遭在野利用。

Fortinet 公司告警称：“Fortinet 已发现该漏洞遭在野利用，并敦促受影响客户尽快安装针对 FortiClient EMS 7.4.5 和 7.4.6 版本的热补丁。”该公司表示，该漏洞影响 FortiClient EMS 7.4.5 和 7.4.6 版本，可通过安装以下其中任一热补丁进行修复：

• FortiClient EMS 7.4.5：https://docs.fortinet.com/document/forticlient/7.4.5/ems-release-notes/832484
• FortiClient EMS 7.4.6：https://docs.fortinet.com/document/forticlient/7.4.6/ems-release-notes/832484

即将发布的 FortiClient EMS 7.4.7 版本也将修复该漏洞。FortiClient EMS 7.2 版本不受影响。

该漏洞由网络安全公司 Defused 发现，后者认为该漏洞是一个预认证 API 访问绕过漏洞，可导致攻击者完全绕过身份验证与授权控制。Defused 在 X 平台上表示，本周早些时候他们观察到该漏洞作为 0day 漏洞被利用，随后依照负责任的披露流程向 Fortinet 公司报告了此事。

互联网安全监测机构 Shadowserver 已发现超过 2000 个暴露在公网的 FortiClient EMS 实例，其中大部分位于美国和德国。上周，FortiClient EMS中的另外一个高危漏洞 CVE-2026-21643，也已遭在野利用。

这两个漏洞均由 Defused 发现，其中CVE-2026-35616的贡献者也包括Nguyen Duc Anh。Fortinet 公司敦促客户立即安装热补丁，或待 7.4.7 版本发布后尽快升级，降低系统被入侵的风险。

本周一，美国网络安全和基础设施安全局 (CISA) 将CVE-2026-35616 纳入已知遭利用 (KEV) 清单，并要求联邦民事行政部门 (FCEB) 在当地时间4月9日12点之前修复该漏洞。CISA 提到，这类漏洞是恶意人员经常利用的攻击向量，为联邦企业带来严重风险。

开源卫士试用地址：https://oss.qianxin.com/#/login

代码卫士试用地址：https://sast.qianxin.com/#/login

推荐阅读

Fortinet 修复可导致未认证代码执行的严重 SQLi 漏洞

Fortinet 修复已遭利用的严重 FortiOS 漏洞

Fortinet：5年前的FortiOS SSL VPN 2FA绕过漏洞正遭活跃利用

CISA要求政府机构在7天内修复这个 Fortinet 新0day

Fortinet 修复严重的 FortiClientLinux 漏洞

原文链接

https://www.bleepingcomputer.com/news/security/new-fortinet-forticlient-ems-flaw-cve-2026-35616-exploited-in-attacks/

https://www.bleepingcomputer.com/news/security/cisa-orders-feds-to-patch-fortinet-flaw-exploited-in-attacks-by-friday/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 “赞” 吧~

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：代码卫士 综合编译 综合编译《Fortinet 紧急修复已遭利用的 FortiClient EMS 严重漏洞》