チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「うちのFortiClient EMS、最新パッチ当ててたっけ…？」
「エンドポイント管理サーバーが攻撃されたら、全端末が危険にさらされるのでは？」
チップスボス！FortiClient EMSにヤバい脆弱性が出たって聞いたでしゅ！しかも、もう攻撃されてるって…！
ボスああ、CVE-2026-35616だな。CVSSスコア9.8のクリティカル。認証なしでリモートからコード実行できる、最悪レベルの脆弱性だ。エンドポイント管理サーバーを乗っ取られれば、管理下の全端末に影響が出る。
2026年4月4日、Fortinetが緊急ホットフィックスを公開したこの脆弱性は、すでに攻撃者に悪用されています。
FortiClient EMSを運用している企業は、即座の対応が求められる状況です。
この記事では、CVE-2026-35616の技術的な中身と、企業が今すぐ取るべき対策を解説します。
パッチ適用の判断材料として、ぜひ最後までお読みください。
オススメ求人・フリーランス案件
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収630~732万・東京】情報セキュリティ課長代理・野村不動産
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【新潟】セキュリティエンジニア｜業界No.1自社SaaS企業｜年収450〜650万円
FortiClient EMSは、企業内のエンドポイント（PC・スマートフォンなど）を一括管理するサーバー製品です。
今回の脆弱性は、そのAPIコンポーネントに存在するアクセス制御の不備が原因でした。
攻撃者は認証情報を一切持たなくても、細工したHTTPリクエストを送るだけでサーバー上でコードを実行できます。
セキュリティ企業watchTowrによると、最初の悪用は2026年3月31日に記録されました。
つまり、Fortinetが公式パッチを出す前から攻撃が始まっていた「ゼロデイ」状態です。
影響範囲をまとめると以下の通りです。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-35616 |
| CVSSスコア | 9.8（クリティカル） |
| 影響製品 | FortiClient EMS 7.4.5 / 7.4.6 |
| 攻撃条件 | 認証不要・リモートから実行可能 |
| 悪用状況 | 2026年3月31日から確認済み |
FortiClient EMS 7.2系は影響を受けません。
ただし、7.4系を使用中の企業は、バージョンを問わず確認が必要です。
チップス認証なしで乗っ取れるって、パスワード管理とか関係ないってことでしゅか…？
ボスそうだ。どれだけ強固なパスワードを設定していても、この脆弱性の前では意味がない。だからこそ、パッチ適用のスピードが命なんだ。
エンドポイント管理サーバーは、企業内の全端末にソフトウェアを配布したり、ポリシーを適用する「司令塔」です。
ここが侵害されると、攻撃者は管理下の端末すべてにマルウェアを配布できてしまいます。
Fortinetは対象バージョン向けにホットフィックスを公開済みで、完全な修正はバージョン7.4.7で提供される予定です。
対応の優先順位は以下を参考にしてください。
過去にもFortinetの製品ではCVE-2023-48788など複数の深刻な脆弱性が悪用されてきました。
エンドポイント管理製品は攻撃者にとって「一度の侵入で最大の成果を得られるターゲット」であり、今後も狙われ続けるでしょう。
ボスエンドポイント管理は便利だが、その管理サーバー自体のセキュリティがおろそかでは本末転倒だ。守る側のツールが攻撃の入口になる。この矛盾を常に意識しておけ。
チップス管理サーバーが乗っ取られたら全部おしまいでしゅもんね…。パッチ適用、急がなきゃでしゅ！
CVE-2026-35616は、認証なしでリモートからコードを実行できるという極めて深刻な脆弱性です。
FortiClient EMS 7.4.5/7.4.6を利用中の企業は、ホットフィックスの即時適用を強くおすすめします。
また、エンドポイント管理サーバーのネットワーク露出を最小限に抑える運用を日頃から心がけましょう。
オススメ求人・フリーランス案件
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収630~732万・東京】情報セキュリティ課長代理・野村不動産
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【新潟】セキュリティエンジニア｜業界No.1自社SaaS企業｜年収450〜650万円
