CVE-2026-35616: FortiClient EMS Infostealer drabbar företagsnätverk
En ny attackkampanj som observerats i maj 2026 riktar in sig mot företagsorganisationer via en kritisk sårbarhet i Fortinets FortiClient Enterprise Management Server (EMS). Sårbarheten, spårad som CVE-2026-35616, gör det möjligt för angripare att helt kringgå autentisering och köra administrativa kommandon utan att någonsin ha giltiga inloggningsuppgifter. Resultatet är en FortiClient EMS-infostealer-attack mot företag som når hanterade företagsändpunkter i stor skala, vilket utsätter känsliga medarbetar- och organisationsdata för allvarlig risk.
Detta är inte ett snävt, riktat intrång. Eftersom FortiClient EMS sitter i centrum för slutpunktshantering i stora organisationer kan en enda lyckad exploatering sprida sig över alla enheter som servern hanterar.
Vad CVE-2026-35616 låter angripare göra i företagsnätverk
FortiClient EMS är utformat för att ge IT-administratörer central kontroll över slutpunktssäkerhetspolicyer, VPN-konfigurationer och programvarudistribution i en företagsflotta. Den administrativa räckvidden är precis det som gör CVE-2026-35616 så farlig.
Genom att utnyttja autentiseringsförbigången får angripare möjlighet att utge sig för att vara legitima administratörer på servern. Från den positionen kan de distribuera programvara till hanterade enheter, ändra slutpunktskonfigurationer och fjärrstyra kommandon utan att utlösa de vanliga autentiseringskontroller som normalt skulle varna säkerhetsteamen. I maj 2026-kampanjen använde angriparna denna åtkomst för att leverera en infostealer förklädd som en legitim Fortinet-patch, ett social engineering-lager som får den skadliga nyttolasten att se ut som rutinunderhåll för både automatiserade skydd och mänskliga observatörer.
Fortinet släppte hotfixar för sårbarheten i april 2026 efter att den identifierades utnyttjas som en zero-day i det vilda. Organisationer som ännu inte har tillämpat dessa patchar förblir sårbara.
Vilka personuppgifter och inloggningsuppgifter infostealers samlar in från företagsenheter
När infostealern körs på en slutpunkt är dess omfattning bred. Moderna infostealers är byggda för att dammsuga upp allt som lagras lokalt eller passerar genom enheten: sparade webbläsaruppgifter, sessionskakor, autofyllnadsdata, sparade lösenord från lösenordshanterare, VPN-uppgifter, e-postkontotoken och filer som matchar mönster associerade med känsliga dokument.
På en företagsenhet skapar detta ett sammansatt integritetsproblem. Anställda använder ofta arbetsmaskiner för uppgifter som suddar ut gränsen mellan personligt och professionellt. En enda komprometterad slutpunkt kan ge inloggningsuppgifter till både företagssystem och personliga konton som medarbetaren råkat använda på den enheten. Sessionskakor är särskilt skadliga eftersom de gör det möjligt för angripare att autentisera som offret utan att behöva något lösenord alls, och därmed kringgå multifaktorautentisering i många fall.
Leveransmekanismen på hanteringsskiktet gör detta värre. Eftersom nyttolasten anländer via en betrodd administrativ kanal kan slutpunktsdetekteringsverktyg som förlitar sig på beteendesignaler från användarskiktet missa den vid det första leveranstillfället.
Denna attack delar strukturella likheter med andra kampanjer som använder betrodda programvarukanaler som leveransfordon. Social engineering-taktiker som döljer skadlig kod som legitima verktyg har blivit ett återkommande tema i flera hotgrupperingar under 2026, vilket understryker hur angripare konsekvent utnyttjar glappet mellan vad som ser legitimt ut och vad som faktiskt är det.
Varför kompromettering av företagshanteringsverktyg utsätter anställdas integritet i stor skala
De flesta diskussioner om dataintrång fokuserar på databasen eller applikationsskiktet. FortiClient EMS-kampanjen belyser en annan och underskattad risk: kompromettering på hanteringsinfrastrukturlagret.
När en angripare kontrollerar verktyget som hanterar slutpunkter i stället för en enskild slutpunkt expanderar skaderadien dramatiskt. I stället för att en anställds enhet komprometteras blir varje enhet under den EMS-instansen ett potentiellt mål. För stora företag kan det innebära hundratals eller tusentals maskiner som får samma skadliga nyttolast i en enda koordinerad push.
Detta skapar också ett specifikt problem för anställdas integritet som skiljer sig från ett traditionellt intrång i en företagsdatabas. Infostealers som körs på enskilda enheter fångar data som organisationen själv kanske aldrig ser eller lagrar centralt, inklusive personlig webbhistorik, personliga kontouppgifter och lokalt sparade filer som aldrig har nått en företagsserver. Anställda har liten insyn i vad som har samlats in från deras egna maskiner, och standardrutiner för företags incidenthantering är ofta utformade kring centraliserade datalager snarare än distribuerad slutpunktsdata.
Vad integritetsmedvetna anställda och IT-team bör göra nu
För IT- och säkerhetsteam är den omedelbara prioriteringen patchning. Fortinet släppte korrigeringar för CVE-2026-35616 i april 2026. Alla organisationer som kör FortiClient EMS och inte har tillämpat dessa hotfixar bör behandla detta som brådskande. Organisationer bör också granska EMS-åtkomstloggar för avvikande administrativa åtgärder, särskilt programvarudistributioner eller konfigurationsändringar som inte initierats av kända administratörer.
Utöver patchning är denna kampanj en användbar påminnelse om att se över segmenteringen mellan din hanteringsinfrastruktur och det bredare nätverket. EMS-servrar bör inte vara direkt åtkomliga från det publika internet utan starka åtkomstkontroller, och administrativa gränssnitt bör kräva ytterligare autentiseringslager även för internt placerade användare.
För enskilda anställda är bilden mer nyanserad. Du har begränsad insyn i vad som körs på en hanterad företagsenhet och ännu mindre kontroll över om din arbetsgivare har tillämpat de relevanta patcharna. Några praktiska steg kan minska din personliga exponering:
- Undvik att spara personliga kontouppgifter i webbläsare på arbetsenheter. Om en infostealer körs är de sparade lösenorden bland det första den fångar.
- Använd en separat personlig enhet för personliga konton där det är möjligt, och håll den trafiken helt borta från företagsadministrerad infrastruktur.
- Överväg en personlig VPN på din arbetsenhet för trafik som faller utanför företagets affärsändamål. Attacker på administrationsskiktet som denna riktar in sig på administrativa kanaler och slutpunktsprogramvara; en personlig VPN som körs på enheten lägger till ett krypteringslager för din surfning som infostealer-kampanjer levererade via EMS inte enkelt kan avlyssna på nätverksnivå.
- Aktivera hårdvarusäkerhetsnycklar eller nätfiskeresistent MFA för dina mest känsliga personliga konton. Även om sessionskakor fångas upp är konton skyddade av hårdvarubaserade andrafaktorer betydligt svårare att komma åt.
FortiClient EMS infostealer-attackkampanjen är en tydlig påminnelse om att komprometteringar av företagsinfrastruktur också är personliga integritetshändelser. Patchning stänger den specifika dörr som CVE-2026-35616 öppnar, men att granska både organisationens säkerhetsläge och din egen datahygien på hanterade enheter är ett mer hållbart svar.
