FortiClient EMS CVE-2026-35616: Kritik Zero-Day Güvenlik Açığı ve Acil Yama Rehberi (2026)

Saldırı Akışı (Attack Flow)

1. Keşif (Reconnaissance)
   └─ Saldırgan, internete açık FortiClient EMS sunucularını tarar
   └─ TCP 8013 (EMS yönetim portu) ve TCP 443 hedeflenir

2. İlk Erişim (Initial Access)
   └─ Specially crafted HTTP request → /api/v1/init_consts endpoint
   └─ Authentication bypass gerçekleşir
   └─ Sunucu, isteği yetkili bir yönetici isteği olarak işler

3. Yetki Yükseltme (Privilege Escalation)
   └─ API üzerinden yönetici seviyesinde erişim elde edilir
   └─ Endpoint politikalarına müdahale imkanı doğar

4. Kod Çalıştırma (Code Execution)
   └─ Sunucu üzerinde arbitrary code execution
   └─ cmd.exe veya PowerShell spawn edilir
   └─ Kalıcılık (persistence) mekanizmaları kurulur

5. Yatay Hareket (Lateral Movement)
   └─ Yönetilen tüm endpoint'lara kötü amaçlı politika dağıtımı
   └─ Ağ genelinde yayılma

Etkilenen ve Güvenli Sürümler Tablosu

Ağ Tabanlı Göstergeler (Network-Based IOCs)

# Şüpheli API istekleri kontrol edin
# EMS yönetim portlarına (TCP 8013 ve 443) gelen trafiği inceleyin

1. /api/v1/init_consts endpoint'ine normalden fazla istek
2. Kimlik doğrulama başlığı (auth header) olmayan API istekleri
3. Dış veya beklenmeyen IP adreslerinden gelen yönetim trafiği
4. EMS sunucusundan dışarıya doğru beklenmeyen bağlantılar
5. Standart dışı portlar üzerinden outbound trafik

Sunucu Tabanlı Göstergeler (Host-Based IOCs)

# FortiClient EMS sunucusunda şunları kontrol edin:

1. EMS sürecinin cmd.exe veya powershell.exe spawn etmesi
   → Bu YÜKSEK derecede anormal ve exploit göstergesidir!

2. PostgreSQL loglarında olağandışı veritabanı hata mesajları

3. /api/v1/init_consts endpoint'inde HTTP 500 hataları

4. Yetkisiz uzaktan izleme ve yönetim (RMM) araçları
   → AnyDesk, TeamViewer, ngrok gibi araçlar sunucuda olmamalı

5. Beklenmeyen zamanlanmış görevler (scheduled tasks)

6. Yeni oluşturulmuş yerel yönetici hesapları

Windows Event Log Kontrol Komutları

# Son 7 günde EMS ile ilgili şüpheli süreç oluşumlarını kontrol edin
Get-WinEvent -FilterHashtable @{
    LogName='Security';
    Id=4688;
    StartTime=(Get-Date).AddDays(-7)
} | Where-Object {
    $_.Properties[5].Value -like '*FortiClient*' -and
    ($_.Properties[5].Value -like '*cmd.exe*' -or
     $_.Properties[5].Value -like '*powershell.exe*')
} | Format-Table TimeCreated, Message -AutoSize

# EMS loglarında HTTP 500 hatalarını arayın
Select-String -Path "C:\Program Files\Fortinet\FortiClientEMS\logs\*.log" `
    -Pattern "500|init_consts|unauthorized" -Context 2

Adım 1: Mevcut Sürümü Doğrulayın

# FortiClient EMS sürümünüzü doğrulayın
# Yöntem 1: Kayıt defteri üzerinden
Get-ItemProperty "HKLM:\SOFTWARE\Fortinet\FortiClientEMS" | Select-Object Version

# Yöntem 2: Uygulama üzerinden
# FortiClient EMS Console → Help → About

Adım 2: Yedek Alın

# EMS yapılandırmasını yedekleyin
# FortiClient EMS Console → Administration → Backup

# Veritabanı yedeği de alın
# PostgreSQL dump komutu:
pg_dump -U forticlient -d forticlient_ems -F c -f "C:\Backup\ems_backup_$(Get-Date -Format 'yyyyMMdd').dump"

Adım 3: Fortinet Hotfix'i İndirip Uygulayın

1. Fortinet Support Portal'a giriş yapın:
   https://support.fortinet.com

2. Downloads → Firmware Images → FortiClient EMS

3. Mevcut sürümünüze uygun hotfix'i indirin:
   - FortiClientEMS 7.4.5 → Hotfix Build 0452
   - FortiClientEMS 7.4.6 → Hotfix Build 0231

4. İndirilen hotfix dosyasının SHA256 hash'ini doğrulayın
   (Fortinet'in release notes sayfasındaki hash ile karşılaştırın)

5. EMS hizmetlerini durdurun:
   → Services → FortiClient EMS Service → Stop

6. Hotfix installer'ı yönetici olarak çalıştırın

7. EMS hizmetlerini yeniden başlatın

8. EMS Console'a giriş yapıp sürümü doğrulayın

Adım 4: Güncelleme Sonrası Doğrulama

# EMS hizmetinin çalıştığını doğrulayın
Get-Service -Name "FortiClientEMS*" | Format-Table Name, Status

# EMS portlarının dinlediğini kontrol edin
netstat -an | Select-String "8013|8014"

# EMS Console'dan endpoint bağlantılarını kontrol edin
# Tüm endpoint'ların başarılı şekilde check-in yaptığından emin olun

1. Ağ Erişimini Kısıtlayın (Network Access Restriction)

# Windows Firewall ile EMS yönetim portlarına erişimi sınırlayın
# Sadece yetkili yönetim alt ağlarından erişime izin verin

# Mevcut kuralları kontrol edin
Get-NetFirewallRule | Where-Object {$_.DisplayName -like "*FortiClient*"}

# TCP 8013 portunu sadece yönetim ağına kısıtlayın
New-NetFirewallRule -DisplayName "EMS-Mgmt-Restrict-8013" `
    -Direction Inbound -Protocol TCP -LocalPort 8013 `
    -RemoteAddress "10.0.1.0/24" -Action Allow

# Diğer tüm kaynaklardan 8013'e erişimi engelleyin
New-NetFirewallRule -DisplayName "EMS-Mgmt-Block-8013-All" `
    -Direction Inbound -Protocol TCP -LocalPort 8013 `
    -Action Block

# TCP 443 için aynısını yapın (yönetim web arayüzü)
New-NetFirewallRule -DisplayName "EMS-Mgmt-Restrict-443" `
    -Direction Inbound -Protocol TCP -LocalPort 443 `
    -RemoteAddress "10.0.1.0/24" -Action Allow

2. Ağ Segmentasyonu Uygulayın

# FortiGate üzerinde EMS sunucusunu izole edin

config firewall policy
    edit 100
        set name "EMS-Management-Access"
        set srcintf "management-vlan"
        set dstintf "server-vlan"
        set srcaddr "admin-subnet"
        set dstaddr "ems-server"
        set service "TCP-8013" "HTTPS"
        set action accept
        set logtraffic all
    next
    edit 101
        set name "EMS-Block-External"
        set srcintf "wan1"
        set dstintf "server-vlan"
        set srcaddr "all"
        set dstaddr "ems-server"
        set service "TCP-8013" "HTTPS"
        set action deny
        set logtraffic all
    next
end

3. Reverse Proxy veya WAF Arkasına Alın

# EMS yönetim arayüzünü doğrudan internete açmayın
# FortiWeb veya başka bir WAF arkasına alarak:
# - IP bazlı erişim kısıtlaması uygulayın
# - Rate limiting aktif edin
# - /api/ endpoint'lerine gelen istekleri filtreyin
# - Anomali tespiti kuralları oluşturun

EMS Sunucu Sertleştirme Kontrol Listesi

□ EMS yönetim arayüzünü internetten erişilemez yapın
□ Yönetim erişimini VPN veya jump host üzerinden sağlayın
□ EMS admin hesaplarında güçlü parola politikası uygulayın
□ Çok faktörlü kimlik doğrulama (MFA) aktifleştirin
□ Gereksiz API endpoint'lerini devre dışı bırakın
□ EMS sunucusu için ayrı bir VLAN oluşturun
□ Sunucudan internete çıkış trafiğini whitelist ile sınırlayın
□ Düzenli yedekleme planı oluşturun ve test edin
□ Audit logging'i aktif edin ve merkezi log sunucusuna gönderin
□ Windows sunucuyu CIS Benchmark'a göre sertleştirin

Gelişmiş İzleme ve Tespit Kuralları

# Süreç izleme: EMS'den anormal süreç spawn'larını yakalayın
# Sysmon ile (Event ID 1 - Process Create):

# Sysmon yapılandırması (XML):
# <RuleGroup>
#   <ProcessCreate onmatch="include">
#     <ParentImage condition="contains">FortiClientEMS</ParentImage>
#     <Image condition="is">C:\Windows\System32\cmd.exe</Image>
#   </ProcessCreate>
#   <ProcessCreate onmatch="include">
#     <ParentImage condition="contains">FortiClientEMS</ParentImage>
#     <Image condition="is">C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe</Image>
#   </ProcessCreate>
# </RuleGroup>

# PowerShell ile anlık kontrol:
Get-WmiObject Win32_Process | Where-Object {
    $_.ParentProcessId -in (
        Get-Process -Name "*FortiClientEMS*" -ErrorAction SilentlyContinue |
        Select-Object -ExpandProperty Id
    )
} | Select-Object ProcessId, Name, CommandLine

Ağ İzleme Kuralları

# FortiGate IPS imzalarını güncelleyin
# FortiGuard'dan en son IPS signature paketini çekin

execute update-ips
diagnose ips signatures list | grep -i "forticlient"

# Syslog üzerinden anomali tespiti
# EMS sunucusuna gelen/giden trafikte şunları izleyin:
# - TCP 8013 üzerinde auth header'sız istekler
# - /api/v1/init_consts endpoint'ine yoğun istek paterni
# - EMS sunucusundan standart dışı portlara outbound bağlantı
# - Yeni veya bilinmeyen IP'lerden gelen yönetim trafiği