Fortinet FortiClient EMS (CVE-2026-35616): La Vulnerabilidad Crítica CVSS 9.1 que Está Siendo Explotada Activamente y Pone en Riesgo a las PyMEs Mexicanas

Si tu empresa utiliza Fortinet FortiClient EMS para gestionar la seguridad de sus computadoras y dispositivos corporativos, necesitas actuar hoy mismo. Una vulnerabilidad crítica identificada como CVE-2026-35616 con una puntuación CVSS de 9.1 está siendo explotada activamente por ciberdelincuentes en todo el mundo, y México no es la excepción.

FortiClient Endpoint Management Server (EMS) es una plataforma centralizada que utilizan miles de empresas para administrar, configurar y monitorear las políticas de seguridad en todos sus dispositivos corporativos: computadoras, laptops y equipos remotos. Es, en pocas palabras, el "cerebro" que controla la seguridad de todos los endpoints de una organización.

Cuando este servidor es comprometido, el atacante obtiene acceso a toda la infraestructura de seguridad de la empresa.

CVE-2026-35616 es un fallo de control de acceso incorrecto (CWE-284) en la API de FortiClient EMS versiones 7.4.5 y 7.4.6. El problema permite que un atacante remoto, sin necesidad de autenticarse ni de interacción del usuario, envíe solicitudes especialmente diseñadas a la API y ejecute código o comandos no autorizados en el servidor.

En términos simples: un ciberdelincuente puede tomar el control completo de tu servidor de gestión de seguridad desde internet, sin necesitar contraseña ni credenciales.

• Explotación activa confirmada: Fortinet, CISA (la agencia de ciberseguridad de EE.UU.) y múltiples investigadores han confirmado que esta vulnerabilidad ya está siendo explotada en entornos reales
• Incluida en el catálogo KEV de CISA: Esto significa que es una amenaza real e inmediata, no teórica
• Acceso total al sistema: Un atacante que explote este fallo puede modificar políticas de seguridad, desactivar protecciones, instalar malware o usar el servidor como punto de entrada para moverse lateralmente por toda la red corporativa
• Sin autenticación requerida: No necesita robar contraseñas ni engañar a ningún empleado; basta con que el servidor esté expuesto a internet
• Impacto en cadena: Al comprometer el EMS, el atacante puede empujar configuraciones maliciosas a todos los endpoints gestionados, afectando a toda la organización simultáneamente

• FortiClient EMS 7.4.5
• FortiClient EMS 7.4.6

Fortinet ya publicó parches para corregir esta vulnerabilidad:

1. 1Actualizar a FortiClient EMS 7.4.7 o superior (solución definitiva recomendada)
2. 2Si no es posible actualizar de inmediato, aplicar los hotfixes disponibles:

• Versión 7.4.5: hotfix 7.4.5.2111
• Versión 7.4.6: hotfix 7.4.6.2170

1. 3Restricción de acceso temporal: Limitar el acceso a la consola de administración del EMS únicamente a direcciones IP de confianza o colocar el servidor detrás de una VPN

Si tu empresa utiliza Fortinet FortiClient EMS, verifica inmediatamente:

• La versión instalada en tu servidor EMS
• Si el servidor está expuesto directamente a internet
• Los registros de acceso a la API en busca de solicitudes anómalas o no autorizadas
• Si hay comportamientos inusuales en los endpoints gestionados