Die FortiClient EMS Sicherheitslücke CVE-2026-35616 sorgt derzeit für eine der größten Zugangsdaten-Diebstahlwellen des Jahres. Unter dem Namen FortiBleed sammeln Angreifer im großen Stil Anmeldedaten aus Fortinet-Umgebungen ein. Anschließend nutzen sie diese Daten für Ransomware-Angriffe. Dieser Beitrag erklärt die Lücke und zeigt konkrete Schutzmaßnahmen.
Was hinter der FortiClient EMS Sicherheitslücke steckt
CVE-2026-35616 ist eine kritische Schwachstelle im FortiClient Endpoint Management Server (EMS). Der CVSS-Wert liegt bei 9.1. Der Fehler beruht auf einer fehlerhaften Zugriffskontrolle. Dadurch kann ein nicht angemeldeter Angreifer über präparierte Anfragen Code oder Befehle ausführen. Mit diesem Zugang verschaffen sich Kriminelle Administratorrechte auf dem Management-Server.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Genau das macht die Lücke so gefährlich. Der EMS verwaltet zentral viele Endgeräte. Wer ihn kontrolliert, sieht tief in das Netzwerk hinein. Die Angreifer installieren dort unter anderem Paketschnüffler und lesen den Datenverkehr mit.
FortiBleed: Vom Datenleck zur Ransomware
Die Kampagne FortiBleed zielt weltweit auf hunderttausende FortiGate-Firewalls. Sicherheitsforscher zählten bis zum 19. Juni 2026 bereits 86.644 funktionierende Zugangsdaten. Die Ermittler fanden zudem eine klare Spur ins Ransomware-Milieu.
Ein Operator war zeitgleich in den Verhandlungsportalen der Gruppen INC Ransom und Lynx eingeloggt. Opfer auf der Leak-Seite von INC Ransom überschnitten sich mit Organisationen aus den FortiBleed-Daten. Anders gesagt: Dieselbe Crew erntet Zugangsdaten und fährt damit doppelte Erpressung. Diese Verbindung zwischen Datendiebstahl und Erpressung ist kein Zufall, sondern Teil eines wachsenden Trends. Wie stark sich Angriffe automatisieren lassen, zeigt der Fall der JadePuffer-Ransomware.
FortiClient EMS Sicherheitslücke schließen: die Patches
Fortinet stellt klare Update-Pfade bereit. Betreiber sollten den FortiClient EMS umgehend absichern:
- Update auf FortiClient EMS 7.4.7 oder neuer einspielen.
- Alternativ den Out-of-Band-Hotfix für 7.4.5 und 7.4.6 anwenden.
- Alle Zugangsdaten auf FortiGate-verwalteter Infrastruktur rotieren.
- Das betrifft VPN, RADIUS, NTLM, Kerberos und Admin-Konten.
Ein reiner Patch reicht nicht aus. Da bereits Zugangsdaten abgeflossen sind, bleibt das Rotieren aller Passwörter der wichtigste Schritt. Andernfalls nutzen Angreifer die alten Daten weiter.
Zugangsdaten wirksam absichern
Gestohlene Passwörter sind nur so lange nützlich, wie sie allein den Zugang öffnen. Eine starke Zwei-Faktor-Authentifizierung entwertet reine Passwörter deutlich. Besonders robust sind Hardware-Schlüssel nach dem FIDO2-Standard, weil sie Phishing wirksam blockieren. Wer seine Konten härten will, findet in unserem Ratgeber zu den besten Hardware-Security-Keys mit FIDO2 passende Empfehlungen.
Zusätzlich gilt: Administrative Zugänge gehören segmentiert und überwacht. Ungewöhnliche Logins am Management-Server sollten sofort auffallen. Auch ein sauberes Backup-Konzept bleibt Pflicht, falls es doch zu einer Verschlüsselung kommt.
Fazit
Die FortiClient EMS Sicherheitslücke zeigt, wie schnell aus einem Zugriffsfehler ein Erpressungsfall wird. Wer jetzt patcht, Zugangsdaten rotiert und starke 2FA einsetzt, nimmt der FortiBleed-Kampagne den wichtigsten Hebel. Handle heute, nicht erst nach dem ersten Alarm.
Quellen
- watchTowr: FortiClient EMS Zero-Day CVE-2026-35616
- Orca Security: FortiBleed Credential Theft Campaign
- Greenbone: Patch now CVE-2026-35616
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden