The Hacker News が伝えているのは、Fortinet の FortiClient Endpoint Management Server（EMS） にあった重大な flaw が、攻撃者に悪用されていたという話です。
この脆弱性は CVE-2026-35616 とされ、CVSS score は 9.1。かなり重い部類です。
ざっくり言うと、FortiClient EMS は企業が配布・管理している endpoint（PC やノートPCなど）をまとめて管理するための仕組みです。
ここがやられると、攻撃者は「1台ずつPCに侵入する」のではなく、管理システムからまとめて悪意ある操作を流し込める。これが本当に怖いところです。正規の管理ツールが悪用されるので、見た目もかなり自然なんですよね。
今回の攻撃は、単に malware を置いただけではありません。かなり手が込んでいます。
Arctic Wolf によると、攻撃者は以下のような手順を踏んでいました。
ここで面白いのは、攻撃者が FortiClient の本来の管理経路 を使っていることです。
つまり、外から無理やり叩き込むのではなく、「普通の運用っぽく見える経路」で悪性コードを流す わけです。これは防御側から見るとかなり厄介だと思います。ログ上も「いつもの管理作業」に見えてしまう可能性があるからです。
攻撃では fortitray.exe という FortiClient 関連の正規実行ファイルも利用されました。
これが .cmd ファイルを cmd.exe で起動し、その .cmd がさらに Base64 encoded PowerShell script を呼び出す、という流れです。
Base64 というのは、データを文字列として見せるための表現の一種です。
悪用されると、ぱっと見では何を実行しているのか分かりにくくなります。要するに、見た目をぼかすためのカモフラージュ ですね。
その PowerShell script がやっているのは、
という流れです。送信先として記事では 83.138.53[.]110 が挙げられています。
配布された実行ファイルは FortiEndpoint_Patch.exe という名前で、Fortinet の更新っぽく見せかけています。
でも実態は、これまで未報告だった Windows 向けの information stealer です。
盗まれる情報はかなり広いです。
対象は Chromium-based browser と Gecko-based browser。
Chrome 系だけでなく、Firefox 系も含むということです。
個人的には、ここがいちばん嫌なポイントだと思います。
password だけでなく cookie まで盗まれると、MFA を通過した後の session を再利用される可能性があります。つまり、「password を変えたから安心」とは限らない。攻撃者が すでにログイン済みの状態 を持ち逃げすることがあるからです。
少しおもしろいのは、この stealer 自体には ネットワーク経由の exfiltration 機能がない とされている点です。
情報を外へ送るのは malware 本体ではなく、PowerShell script 側 です。
これは設計として分業されている感じで、攻撃の役割を分けているのだと思います。
本体は情報収集に集中し、送信は別スクリプトが担当する。こういう分離は、分析を少し面倒にします。攻撃者としては、わりと賢い作りです。
この事件の本質は、単なる「脆弱性が見つかった」ではありません。
管理基盤そのものが攻撃に使われた ことです。
普通は、各 endpoint に個別侵入されると「1台ずつ守ればいい」と考えがちです。
でも管理サーバーがやられると、状況は一変します。攻撃者は 1か所の突破で、多数の端末に同時配布 できてしまう。
これ、運用担当者からすると本当に悪夢に近いです。
しかも、盗まれた cookie や saved credentials は、クラウドサービス、社内アプリ、他の認証済みリソースへの足がかりになります。
記事でも、session reuse によって MFA の確認を回避できる場合がある と指摘されています。
MFA は強い防御ですが、セッションごと持っていかれると話が変わる。ここは誤解されやすいところなので注意したいです。
記事そのものは被害の詳細紹介が中心ですが、読み手としては次の点を強く意識したいところです。
.cmd の不審な実行がないか見る特に、「端末のEDRだけ見ていれば大丈夫」とは言い切れないのが嫌なところです。
管理面が破られると、endpoint 側の監視だけでは追いつかないことがあります。ここは防御設計の盲点になりやすいと思います。
今回の件は、FortiClient EMS の重大 flaw が、credential stealer の配布に悪用されたという話でした。
しかも攻撃者は、正規の管理経路や実行ファイルを使って、あたかも普通の更新作業のように見せかけています。
こういう攻撃は、派手な ransomware とは違って地味に見えるかもしれません。
でも実際には、password、cookie、autofill を静かに抜かれる方が、後々じわじわ効いてくることが多いです。
個人的には、今回の件は「endpoint の防御」だけでなく「管理基盤の防御」がいかに重要かを、かなり分かりやすく突きつけた事例だと思います。
参考: Threat Actors Exploit Critical FortiClient EMS Flaw to Deploy Credential Stealer