FortiClient EMS Zero-Day: عندما يصبح أمن نقاط النهاية سطح الهجوم

الثغرة التي تحوّل المدافعين إلى أهداف

في 4 أبريل 2026، أصدرت Fortinet تصحيحاً طارئاً لـ CVE-2026-35616، وهي ثغرة حرجة لتجاوز المصادقة المسبقة في FortiClient Endpoint Management Server (EMS)، كانت تُستغل بالفعل قبل وجود أي تصحيح. بدرجة CVSS تبلغ 9.1، تسمح الثغرة للمهاجمين غير المصادق عليهم بتنفيذ تعليمات برمجية عشوائية على خوادم تدير أمن نقاط النهاية لمؤسسات بأكملها.

يؤكد التوقيت على نمط أوسع. قبل أيام قليلة، كشف CERT-EU أن اختراق سلسلة التوريد لأداة Trivy، ماسح الثغرات مفتوح المصدر المستخدم على نطاق واسع، أدى إلى خرق بيانات في المفوضية الأوروبية طال 71 جهة و340 غيغابايت من البيانات المسروقة. معاً، تبلور هذه الحوادث حقيقة مقلقة: البنية التحتية الأمنية نفسها أصبحت سطح الهجوم الرئيسي.

كيف تعمل CVE-2026-35616

الثغرة، المصنفة تحت CWE-284 (التحكم في الوصول غير الملائم)، تكمن في طبقة واجهة برمجة التطبيقات (API) الخاصة بـ FortiClient EMS. تسمح لمهاجم غير مصادق عليه بتجاوز ضوابط المصادقة والتفويض في واجهة برمجة التطبيقات بالكامل، وتصعيد الامتيازات وتنفيذ تعليمات برمجية خبيثة عبر طلبات HTTP مصممة خصيصاً.

ما يجعل هذه الثغرة خطيرة بشكل خاص هو بساطة الهجوم. لا حاجة لأي بيانات اعتماد. لا حاجة لأي تفاعل من المستخدم. واجهة إدارة EMS مكشوفة هي كل ما يحتاجه المهاجم للوصول الأولي وإنشاء موطئ قدم والتحرك الجانبي عبر أسطول نقاط النهاية المُدارة بالكامل.

الإصداران 7.4.5 و7.4.6 من FortiClient EMS متأثران. الإصدار 7.2.x غير متأثر. نشرت Fortinet الاستشارة FG-IR-26-099 مع تصحيحات طارئة، مع توقع إصلاح دائم في الإصدار القادم 7.4.7. اكتشف الثغرة Simo Kohonen من Defused Cyber والباحث المستقل Nguyen Duc Anh.

الجدول الزمني للاستغلال: المهاجمون تحركوا أولاً

يكشف التسلسل الزمني مدى ضيق النافذة المتاحة للمدافعين:

• 31 مارس 2026: سجلت شركة الأمن watchTowr أولى محاولات الاستغلال ضد CVE-2026-35616 على شبكة مصائد العسل الخاصة بها، قبل أيام من توفر أي تصحيح. رصدت Defused Cyber بشكل مستقل استغلال zero-day خلال الفترة نفسها.
• 4 أبريل 2026: أكدت Fortinet الاستغلال النشط وأصدرت تصحيحات طارئة للإصدارين 7.4.5 و7.4.6.
• 5 أبريل 2026: حددت مؤسسة Shadowserver أكثر من 2,000 خادم FortiClient EMS مكشوف على الإنترنت العام، حيث تتركز الغالبية في الولايات المتحدة وألمانيا.

لم تكن هذه أول أزمة FortiClient EMS في الأسابيع الأخيرة. CVE-2026-21643، ثغرة حرجة لحقن SQL (أيضاً CVSS 9.1) تؤثر على الإصدار 7.4.4، كانت تحت استغلال نشط منذ أواخر مارس 2026. كان المهاجمون يهربون عبارات SQL عبر رؤوس طلبات HTTP المصممة خصيصاً، محققين تنفيذ التعليمات البرمجية ضد قاعدة بيانات PostgreSQL الأساسية في الأنظمة غير المصححة. ثغرتان حرجتان متتاليتان في نفس خط المنتجات ترسمان صورة مقلقة لسطح الهجوم الذي تقدمه أنظمة إدارة نقاط النهاية.

اختراق Trivy: عندما يصبح الماسح الأمني سلاحاً

لم يحدث zero-day الخاص بـ FortiClient EMS بمعزل عن غيره. في 3 أبريل 2026، كشف CERT-EU أن هجوماً متطوراً على سلسلة التوريد قد اخترق Trivy، ماسح ثغرات الحاويات مفتوح المصدر المنتشر على نطاق واسع والذي تصونه Aqua Security.

الفاعل المهدد، المحدد باسم TeamPCP، استغل خطأ في تكوين خط أنابيب CI/CD الخاص بـ GitHub Actions في Trivy لحقن تعليمات برمجية خبيثة حصدت مفاتيح API الخاصة بـ AWS وأسرار SSH وبيانات اعتماد Kubernetes من البيئات التي تشغل الأداة. في 19 مارس، استخدم مهاجم سر AWS مسروقاً للوصول إلى البنية التحتية السحابية للمفوضية الأوروبية. اكتشف مركز عمليات الأمن السيبراني التابع للمفوضية استخداماً غير طبيعي لواجهة برمجة التطبيقات، لكن بحلول ذلك الوقت كان المهاجمون قد انتقلوا بالفعل عبر حسابات AWS متعددة.

أثر الخرق في نهاية المطاف على 71 عميلاً مستضافاً على منصة استضافة الويب Europa، مع تسريب أكثر من 340 غيغابايت من البيانات، شملت معلومات شخصية كالأسماء وأسماء المستخدمين وعناوين البريد الإلكتروني عبر كيانات أوروبية متعددة. نشرت مجموعة الابتزاز ShinyHunters مجموعة البيانات المسروقة على موقع التسريبات الخاص بها على الويب المظلم في 28 مارس.

لم تتوقف حملة TeamPCP عند Trivy. وسّعت المجموعة لاحقاً عملياتها إلى Checkmarx KICS ومنظومة npm، مما يدل على استراتيجية منهجية لاستهداف سلاسل توريد أدوات الأمن.

النمط: البنية التحتية الأمنية كسطح هجوم

هذه الحوادث، التي وقعت بفارق أيام، تعكس تحولاً هيكلياً في طريقة مقاربة الخصوم المتطورين لشبكات المؤسسات. بدلاً من البحث عن ثغرات في التطبيقات التجارية، يستهدف المهاجمون بشكل متزايد مجموعة أدوات الأمن والإدارة نفسها.

المنطق قاسٍ وفعال. تحتفظ خوادم إدارة نقاط النهاية ببيانات الاعتماد والسياسات لكل جهاز مُدار. تتمتع ماسحات الثغرات بوصول عميق إلى البيانات الوصفية للبنية التحتية وتعمل غالباً بامتيازات مرتفعة. اختراق إحدى هذه الأدوات يعني احتمال اختراق الوضع الأمني بالكامل للمؤسسة.

اعترفت CISA بهذا الاتجاه صراحةً. في 18 مارس 2026، أصدرت الوكالة تنبيهاً يحث المؤسسات على تعزيز أنظمة إدارة نقاط النهاية، في أعقاب هجوم سيبراني ضد Stryker Corporation، شركة أمريكية للتقنيات الطبية. استغلت مجموعة القرصنة الإيرانية Handala بيئة Microsoft Intune الخاصة بـ Stryker، مستخدمةً أمر المسح المدمج في المنصة لتدمير بيانات نقاط النهاية عبر المؤسسة.

بالنسبة لمسؤولي أمن المعلومات ومهندسي الأمن، الرسالة واضحة: الأدوات التي تثقون بها يجب أن تُعامَل بنفس مستوى الشك الذي تتعاملون به مع التهديدات التي يُفترض أن توقفها.

ما يجب على المؤسسات فعله الآن

الإجراءات الفورية (24-48 ساعة):

• تصحيح FortiClient EMS بأحدث التصحيحات الطارئة للإصدارين 7.4.5 أو 7.4.6. إذا لم يكن التصحيح ممكناً فوراً، قيّد الوصول الشبكي إلى واجهة إدارة EMS على نطاقات عناوين IP الداخلية الموثوقة فقط.
• تدقيق التعرض على الإنترنت. استخدم أدوات اكتشاف الأصول للتأكد من عدم إمكانية الوصول إلى أي خادم EMS مباشرة من الإنترنت العام. تشير أكثر من 2,000 خادم مكشوف حددتها Shadowserver إلى أن كثيراً من المؤسسات لا تدرك أن خوادم EMS لديها متاحة للعامة.
• مراجعة عمليات نشر Trivy. تأكد من تشغيل نسخة نظيفة وموثقة من Trivy. دقق في سلامة خطوط أنابيب CI/CD وتحقق من عدم وجود تغييرات غير مصرح بها على تكوينات أو مخرجات أدوات الفحص.

الإجراءات الاستراتيجية (30-90 يوماً):

• تقسيم البنية التحتية الإدارية. يجب أن تقع خوادم إدارة نقاط النهاية وماسحات الثغرات ومجمعات SIEM وأدوات الأمن الأخرى على شبكات VLAN إدارية معزولة بضوابط وصول صارمة، وليس بجانب أحمال العمل العامة للخوادم.
• تطبيق مبدأ عدم الثقة على أدوات الأمن. طبّق نفس صرامة المصادقة والتفويض والمراقبة على مجموعة أدوات الأمن كما تفعل مع أنظمة الإنتاج. نجحت ثغرات تجاوز المصادقة المسبقة مثل CVE-2026-35616 تحديداً لأن كثيراً من المؤسسات تفترض أن أدوات الأمن لديها موثوقة بطبيعتها.
• التحقق من سلاسل التوريد البرمجية. بالنسبة لأدوات الأمن مفتوحة المصدر، طبّق التحقق من التوقيعات وعمليات البناء القابلة للتكرار وتتبع SBOM. نجح اختراق Trivy لأن المؤسسات وثقت ضمنياً في خط أنابيب تحديث الأداة.
• مراقبة مؤشرات ما بعد الاستغلال. إذا كان FortiClient EMS مكشوفاً قبل تطبيق التصحيح، افترض حدوث اختراق وابدأ التحقيق. ابحث عن استدعاءات API غير معتادة وحسابات إدارية جديدة وتغييرات غير متوقعة في السياسات عبر أسطول نقاط النهاية.

المصادر والقراءات الإضافية

• Fortinet Patches Actively Exploited CVE-2026-35616 in FortiClient EMS — The Hacker News
• FortiClient EMS Zero-Day Exploited, Emergency Hotfixes Available — Help Net Security
• 2,000+ FortiClient EMS Instances Exposed Online Amid Active Exploits — Cybersecurity News
• New FortiClient EMS Flaw Exploited in Attacks — BleepingComputer
• European Commission Confirms Data Breach Linked to Trivy Supply Chain Attack — SecurityWeek
• CERT-EU Blog: European Commission Cloud Breach — A Supply-Chain Compromise
• CISA Urges Endpoint Management System Hardening After Cyberattack — CISA
• Trivy Compromised by TeamPCP — Wiz Blog
• Fortinet FortiClient EMS Advisory FG-IR-26-099 — FortiGuard Labs