FortiClient EMSのCVE-2026-35616を悪用、VPN経由でEKZ情報窃取マルウェア配布が継続

「FortiClient EMSって、自社で運用してるエンドポイント管理サーバでしゅよね？それが乗っ取られたらどうなるんでしゅか？」
「VPN経由でマルウェアが配布されるって、社員のPCが全部やられるってことでしゅか？」

チップス

ボス、FortiClient EMSの脆弱性が悪用されて、EKZっていう情報窃取マルウェアが配られてるんでしゅよね？想像するだけで怖いんでしゅけど…。

ボス

そうだな。EMSはエンドポイント全台を統制する管理サーバだ。ここが乗っ取られると、企業の正規の配布経路を使ってマルウェアが全社に展開される最悪のシナリオになる。

2026年5月28日、攻撃者がFortiClient EMSの認証バイパス脆弱性CVE-2026-35616を悪用し、EKZ情報窃取マルウェアを企業環境へ配布している事案が報告されました。
本記事では、脆弱性の仕組み、攻撃の流れ、そして利用組織が今すぐ実施すべき対策を整理していきます。

FortiClient EMSは大企業のエンドポイント管理に広く採用されており、侵害は社内マルウェア拡散の起点になり得ます。
事件の概要、攻撃手口の流れ、そして組織が取るべき対策の順に深掘りしていきます。

事件の概要：認証バイパスからVPN経由マルウェア配布まで

Fortinetは2026年4月初旬に緊急ホットフィックスをリリースしましたが、未適用環境への攻撃が継続しています。

攻撃の流れと検出指標

攻撃は管理サーバ侵害から、VPN経由のスクリプト実行までを連続して行う仕組みです。
主な検出指標を以下の表に整理しました。

チップス

EKZって、どんな情報を抜くマルウェアなんでしゅか？

ボス

ChromiumとFirefoxを標的に、認証情報、クレジットカード番号、住所、電話番号を抜く。さらにセッションCookieを盗むため、MFAを設定済みでもアカウント乗っ取りが成立してしまうのが厄介な点だ。

攻撃手口の核心：正規配布経路の悪用

本攻撃の最大の特徴は、EMS本来のVPN管理機能を悪用してマルウェアを配布する点にあります。

具体的な被害シナリオ

攻撃者はEMSにbase64エンコードされたPowerShellペイロードを仕込み、IPsec接続直後に実行させます。
典型的な被害は以下の通りです。

チップス

正規のVPN経由だからセキュリティ製品も警戒しないし、MFAも突破される…これは本当に厳しいでしゅね…。

ボス

その通りだ。だからこそEDRの異常プロセス検知と、SaaSのセッション異常監視を併用する多層防御が重要になる。今回のような事案こそ、エンドポイント側の見直しが効くぞ。

推奨される対策

BleepingComputerの報告とFortinet公式情報を踏まえ、対応の優先度は以下の通りです。

まとめ：管理基盤の侵害は「正規経路の武器化」を招く

FortiClient EMSのようなセキュリティ製品の管理基盤への侵害は、攻撃者に正規のマルウェア配布経路を提供してしまいます。
セキュリティ製品も例外なく脆弱性管理の対象として扱い、設定変更の常時監視を組み込むことが現代の防御の前提です。

ボス

セキュリティ製品は「守るもの」であると同時に「守るべきもの」だ。管理サーバの脆弱性を放置することは、自社で攻撃者に鍵を渡すに等しいぞ。

チップス

うちのEMSのバージョンと設定、今すぐ確認するでしゅ。怖くて夜も眠れないんでしゅから！