Fortinet FortiClient EMS の脆弱性（CVE-2026-35616）

何が起きた

Fortinet FortiClient EMS に、アクセス制御（誰に何を許すかの仕組み）が正しく働かない弱点が見つかりました。ログインしていない攻撃者が細工したリクエストを送ることで、許可されていないコードや命令を実行できるおそれがあります。NVD の評価では、ネットワーク経由で、権限も被害者の操作もなしに悪用できるとされています。Fortinet もこの弱点が実際に悪用されているのを確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

FortiClient EMS（端末の管理用サーバー）を運用している組織が対象です。影響を受けるのは FortiClientEMS 7.4.5 から 7.4.6 です。Fortinet の勧告では、FortiClientEMS 8.0 と 7.2 は影響を受けないとされています。

何をすればいい

FortiClientEMS 7.4.5 と 7.4.6 を使っている場合は、Fortinet が公開している修正用のホットフィックスを、各バージョンのリリースノートの手順に従って当ててください。CVE の記録では、7.4.7 以降、または 8.0.0 以降への更新も対策として案内されています。メーカー（ベンダー）の公式の案内を確認し、それに従って更新や対策をしてください。

やることチェックリスト

• EMS のバージョンが 7.4.5 か 7.4.6 か調べる
• 該当するならホットフィックスを当てる
• 7.4.7 以降が出たら更新する

用語メモ

アクセス制御

誰がどの機能やデータを使ってよいかを決めて守る仕組みです。

ホットフィックス

特定の不具合や弱点を急いで直すために配られる、小さな修正プログラムです。

リクエスト

ネットワーク越しにサーバーへ送る、処理のお願いのデータです。