FortiClientEMS: Fortinet סגרה חולשת SQL Injection קריטית בגרסה 7.4.4, בלי הזדהות
ב-6 בפברואר 2026 פרסמה Fortinet את CVE-2026-21643: חולשה קריטית בממשק הניהול של FortiClientEMS 7.4.4 שמאפשרת הרצת פקודות בלי הזדהות. התיקון בגרסה 7.4.5, ובאפריל CISA הוסיפה אותה לקטלוג הפרצות המנוצלות.
TL;DR בקצרה
- Fortinet פרסמה ב-6 בפברואר 2026 את CVE-2026-21643, חולשת SQL Injection בממשק הניהול של FortiClientEMS, בציון בסיס 9.8.
- רק גרסה 7.4.4 פגיעה. הגרסאות 7.2 ו-8.0 ו-FortiEMS Cloud אינן פגיעות, והתיקון הוא 7.4.5 ומעלה, בלי פתרון עוקף.
- לפי Bishop Fox, הפגם משפיע על 7.4.4 במצב multi-tenant, ובמעבדה שלה הוא איפשר גם הרצת פקודות מערכת.
- ב-13 באפריל 2026 הוסיפה CISA את החולשה לקטלוג KEV, עם מועד תיקון של 16 באפריל.
ב-6 בפברואר 2026 פרסמה Fortinet יועץ אבטחה על חולשה קריטית ב-FortiClientEMS, CVE-2026-21643. היא מאפשרת לתוקף ללא הזדהות להריץ קוד או פקודות, באמצעות בקשות HTTP שנוסחו בכוונה לממשק הניהול. רק גרסה 7.4.4 פגיעה, והתיקון הוא גרסה 7.4.5 ומעלה.
FortiClientEMS הוא שרת הניהול של FortiClient. הוא מרכז את המדיניות, את רשימת ציוד הקצה ואת התעודות של המחשבים בארגון. לפי היועץ של Fortinet, את הבעיה גילה בתוך החברה Gwendal Guégniaud מצוות אבטחת המוצר.
FortiClientEMS 7.4.4: מה הפגם ומי חשוף
הפגם הוא SQL Injection, כלומר קלט שמגיע לשאילתת מסד נתונים בלי סינון מספק. לפי Fortinet, הוא יושב ברכיב הממשק הגרפי. התוקף לא צריך חשבון.
Fortinet מציינת שרק FortiClientEMS 7.4.4 פגיע. גרסאות 7.2 ו-8.0 אינן פגיעות, וגם FortiEMS Cloud לא. היועץ לא מפרט פתרון עוקף. הפתרון שמציעה Fortinet הוא שדרוג ל-7.4.5 ומעלה.
חברת Bishop Fox פרסמה ב-9 במרץ ניתוח טכני. לדבריה, הבעיה נולדה בגרסה 7.4.4, כשהמפתחים שכתבו את שכבת מסד הנתונים כדי לתמוך בריבוי דיירים. כותרת HTTP בשם Site מגיעה לשאילתה לפני בדיקת ההרשאות.
לפי Bishop Fox, הפגם משפיע כשמופעל מצב multi-tenant, בהגדרה SITES_ENABLED=True. התקנות של אתר יחיד אינן חשופות. אפשר לקרוא את ההגדרה הזאת בלי הזדהות, ולכן תוקף יכול לבדוק אם השרת פגיע.
מה תוקף יכול לעשות בעזרת FortiClientEMS פגיע
התוקף מריץ שאילתות SQL על מסד הנתונים PostgreSQL של השרת. לפי Bishop Fox, בתמונת המכונה הווירטואלית שמספקת Fortinet, משתמש מסד הנתונים הוא superuser. במעבדה שלה היא הצליחה להריץ גם פקודות מערכת וליצור קבצים.
בידי התוקף יכולים להגיע גיבובי סיסמאות של מנהלים, אסימוני API וסודות JWT. הוא יכול לשלוף את רשימת ציוד הקצה, את המדיניות ואת תעודות ה-ZTNA וה-SAML. הוא גם יכול ליצור חשבונות מנהל קבועים ולשנות מדיניות.
אלה ממצאי מעבדה של Bishop Fox, ולא ראיה לתקיפות שכבר קרו.
מה קרה מאז: בסוף מרץ 2026 דיווחה Defused, חברת מודיעין שמפעילה פיתיונות, שהחולשה כבר בשימוש תוקפים. לפי SecurityWeek, ספירה של Shadowserver מצאה ב-30 במרץ מעל 2,000 מופעים נגישים מהאינטרנט. הקוד להוכחת היתכנות פומבי.
נכון ל-31 במרץ, Fortinet עוד לא סימנה את הפגם כמנוצל ביועץ שלה. ב-13 באפריל 2026 הוסיפה CISA את CVE-2026-21643 לקטלוג KEV, עם מועד תיקון של 16 באפריל.
מה זה אומר עבורכם
- בדקו את הגרסה: אם אתם מריצים FortiClientEMS 7.4.4, שדרגו ל-7.4.5 או גרסה מאוחרת. גרסאות 7.2 ו-8.0 אינן פגיעות לפי Fortinet.
- סגרו את הגישה מבחוץ: Bishop Fox ממליצה להגביל גישת HTTPS לממשק הניהול לרשתות ניהול מורשות. שרת ניהול לא צריך להיות פתוח לאינטרנט.
- אם אי אפשר לשדרג מיד: אם אין לכם צורך ב-multi-tenant, הגדירו SITES_ENABLED=False. Bishop Fox מציינת שהקוד הפגיע נשאר אבל לא נגיש.
- חפשו עקבות: עברו על יומני Apache ועל תגובות 500 בנתיבים init_consts ו-signin. בדקו ביומני PostgreSQL ערכי search_path חריגים.
- אם השרת היה חשוף: החליפו סיסמאות מנהל, אסימוני API וסודות JWT. בדקו אם נוצרו חשבונות מנהל חדשים.
מה הלאה
הפרשה מדגימה למה כדאי לשדרג שרתי ניהול מיד כשהיועץ יוצא. הגרסה המתוקנת הייתה זמינה כבר בפברואר, חודשים לפני הדיווחים על ניצול.
מי שמריץ FortiClientEMS צריך לוודא שהשרת מעודכן ושהממשק שלו לא פתוח לכל האינטרנט. זה קל לבדוק היום.
מקורות והרחבה
- SQL Injection in FortiClientEMS Administrative Interface (FG-IR-25-1142)Fortinet PSIRT
- CVE-2026-21643: Pre-Authentication SQL Injection in FortiClient EMS 7.4.4Bishop Fox
- Exploitation of critical Fortinet FortiClient EMS flaw beginsSecurityWeek
- Known Exploited Vulnerabilities CatalogCISA
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
