FortiClient EMS にゼロデイ（CVE-2026-35616）— 端末管理サーバーが認証なしで操作される

何が起きたか

Fortinet は 2026年4月4日、社内 PC の FortiClient（VPN・セキュリティソフト）を一括管理する FortiClient EMS に、アクセス制御の不備（CVE-2026-35616、CVSS 9.8）があると公表しました。細工した通信を送るだけで、認証なしに外から操作されるおそれがあります。

Fortinet 自身が「悪用を確認した」としており、3月31日から攻撃が観測されていたと報じられました。CISA は4月6日に KEV へ登録しています。同じ時期、7.4.4 だけにある別の脆弱性（CVE-2026-21643、SQL インジェクション）を狙う攻撃も報告されました。

影響を受けたのは

• FortiClient EMS 7.4.5〜7.4.6（7.2 系と 8.0 系は対象外）
• FortiClient Cloud と FortiSASE は Fortinet 側で対応済み

自社で確認したいこと

• 7.4.5 / 7.4.6 には緊急ホットフィックスを当てる（停止は不要）。7.4.7 以降に更新する
• 7.4.4 のままなら、まず 7.4.5 以降に上げる
• EMS の管理画面をインターネットに出さない
• 管理下の端末に見覚えのない設定やソフトの配布がないか確認する