La vulnerabilità CVE-2026-35616 in Fortinet FortiClient EMS, precedentemente nota per il suo sfruttamento attivo, è ora collegata a campagne APT più ampie che prendono di mira organizzazioni governative nella regione CIS.
La vulnerabilità di bypass dell'autenticazione, identificata come CVE-2026-35616, che ha destato serie preoccupazioni nel panorama della cybersecurity, si rivela ora parte di un quadro di minacce più complesso. Questa falla critica, presente in Fortinet FortiClient Endpoint Management Server (EMS), permette a un attaccante non autenticato di ottenere accesso non autorizzato a funzionalità protette. La gravità della situazione è stata ulteriormente accentuata dal fatto che la vulnerabilità è stata sfruttata attivamente in natura fin dalla primavera del 2026, prima ancora che venisse resa pubblica la sua correzione.
La falla CVE-2026-35616, classificata come un problema di controllo degli accessi improprio (CWE-284), colpisce le versioni 7.4.5 e 7.4.6 di FortiClient EMS. Un attaccante remoto non autenticato può inviare richieste appositamente costruite per eseguire comandi o codice non autorizzato sul server EMS. Il punteggio CVSS assegnato da Fortinet è 9.1, mentre il National Vulnerability Database (NVD) la eleva a 9.8, confermandone la criticità. L'analisi tecnica suggerisce che la causa principale risieda nella gestione dell'autenticazione basata su certificati, dove un header manipolato (X-SSL-CLIENT-VERIFY) può ingannare l'applicazione backend.
Fortinet ha riconosciuto la vulnerabilità con l'avviso ufficiale FG-IR-26-099 del 4 aprile 2026, confermando osservazioni di tentativi di sfruttamento. Le prime segnalazioni indicavano che la falla fosse già utilizzata come zero-day almeno dal 31 marzo 2026. La CISA ha aggiunto la vulnerabilità al suo catalogo delle Known Exploited Vulnerabilities, imponendo una scadenza per la remediation federale al 9 aprile 2026. Ulteriori attività di sfruttamento sono state documentate anche nel mese di maggio 2026. La situazione è peggiorata con la pubblicazione di un proof-of-concept (PoC) pubblico su GitHub, abbassando la barriera d'ingresso per gli attaccanti.
Le recenti indagini di Cisco Talos e Recorded Future Insikt Group hanno rivelato che la vulnerabilità CVE-2026-35616 potrebbe essere stata utilizzata nell'ambito di campagne di attacco più ampie condotte dal gruppo di minaccia noto come Silent Lynx. Questo attore, attivo almeno dal 2020 e con legami con il Kazakistan, è stato osservato prendere di mira organizzazioni governative in diversi paesi della Comunità degli Stati Indipendenti (CIS), tra cui Kazakistan, Kirghizistan, Tagikistan, Turkmenistan, Uzbekistan, Armenia, Azerbaigian, Russia e Bielorussia. Le attività di Silent Lynx, tracciate anche con le sigle UAT-6275 e TAG-193, si sono estese da giugno 2025 ad agosto 2026.
Le catene di infezione impiegate da Silent Lynx sono variegate e includono documenti con macro abilitate, downloader PS2EXE, script PowerShell ospitati su GitHub e archivi WinRAR appositamente creati. In particolare, una delle catene di infezione documentate nell'aprile 2026 sfrutta una vulnerabilità in WinRAR (CVE-2025-8088) per distribuire il payload PickleShell, un reverse shell personalizzato che facilita l'accesso remoto interattivo ai sistemi compromessi. Questo segna la prima volta che UAT-6275 ha armato una falla di sicurezza come metodo di distribuzione del malware.
Le nuove fonti suggeriscono che Silent Lynx stia espandendo le proprie capacità operative. Sono stati scoperti tre directory di staging pubblicamente accessibili contenenti strumenti compatibili con Linux e un exploit PoC pubblico per CVE-2025-25257, una falla di SQL injection presente in Fortinet FortiWeb. Questo indica un possibile interesse del gruppo verso altre soluzioni di sicurezza Fortinet, ampliando ulteriormente la superficie di attacco potenziale.
Le campagne di Silent Lynx si concentrano su settori strategici come le agenzie ambientali, i ministeri economici e le infrastrutture energetiche, riflettendo un interesse per l'intelligence relativa alla diplomazia regionale e alla gestione delle risorse. Le email di spear-phishing utilizzate come vettore iniziale spesso contengono documenti esca a tema diplomatico, commercio internazionale, energia e aviazione, inviate da account governativi compromessi per aumentare la credibilità dell'attacco.
Un server FortiClient EMS compromesso tramite CVE-2026-35616 può concedere a un attaccante l'accesso amministrativo tramite API, permettendo l'esecuzione di codice malevolo sui dispositivi endpoint gestiti e potenzialmente il controllo completo dell'infrastruttura aziendale. La connessione con gruppi APT come Silent Lynx eleva il rischio, suggerendo che le compromissioni possano essere parte di operazioni di spionaggio o sabotaggio su larga scala.
Le organizzazioni sono caldamente invitate a implementare le seguenti misure, ora con un'enfasi maggiore sulla consapevolezza delle minacce persistenti:
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
