Su antivirus puede haber sido el mecanismo que infectó toda la flota de endpoints. No fue un hacker que invadió cada máquina individualmente. Fue el propio sistema de management el que hizo push del malware hacia cada endpoint gestionado. Cuando la herramienta de seguridad se convierte en el canal de infección, el modelo de confianza se invierte.
CVE-2026-35616: el bug que invierte la confianza
FortiClient EMS es la plataforma centralizada que gestiona todos los endpoints de una organización. Push de updates, políticas, configuraciones: todo pasa por el EMS. Es el punto de control. Y por eso es el objetivo de mayor valor.
La vulnerabilidad CVE-2026-35616 es un improper access control (CWE-284) con CVSS 9.1. Bypass de autenticación vía API. Un atacante no autenticado obtiene acceso privilegiado al EMS server. Con ese acceso, usa las propias funcionalidades de management para distribuir malware a todos los endpoints conectados. El antivirus se convierte en el vector de infección.
La CISA agregó la CVE al KEV (Known Exploited Vulnerabilities) en abril de 2026. Fortinet lanzó patches out-of-band. Y 7 semanas después, la explotación activa continúa. El patch existe. La distribución no ocurrió a la velocidad necesaria. Los atacantes siguen encontrando EMS expuestos y sin patch.
El problema no es solo técnico, es operativo. El EMS es un sistema de management que exige ventana de mantenimiento, coordinación entre equipos y muchas veces reinicio de servicios. En organizaciones con cientos de endpoints, la ventana entre "patch disponible" y "patch aplicado en toda la flota" puede ser de semanas. Los atacantes operan dentro de esa ventana.
La cadena de ataque: EKZ Stealer vía update falso
Arctic Wolf documentó el 28 de mayo de 2026: atacantes explotan EMS sin patch para hacer push de EKZ Stealer disfrazado de update legítimo de Fortinet.
El binario se llama FortiEndpoint_Patch.exe. Parece un update legítimo. La cadena de ejecución es:
fortitray.exe(proceso legítimo de FortiClient) ejecuta un script.cmd- El script invoca PowerShell con payload Base64
- PowerShell hace download y ejecuta el stealer
- Los datos se exfiltran vía HTTP POST hacia
83.138.53[.]110
El stealer recolecta de browsers Chromium y Gecko: contraseñas guardadas, cookies de sesión, datos de autofill, tarjetas de crédito, direcciones y teléfonos. Los datos se escriben en log en el directorio ProgramData antes de la exfiltración. El binario parece limpio: la carga maliciosa está en el script que invoca.
El uso de fortitray.exe como punto de partida no es accidental. Es un proceso legítimo firmado por Fortinet. Las soluciones EDR que confían en la firma digital como indicador de confianza no van a detectar este comportamiento. El atacante usa la confianza que el ecosistema Fortinet ya estableció contra él mismo.
El bypass de MFA que nadie espera
Los session cookies robados permiten session reuse. El atacante no necesita contraseña. No necesita segundo factor. Reutiliza la sesión activa del usuario.
En ambientes enterprise donde el MFA es la línea de defensa principal, el robo de session cookies equivale a bypasear el MFA por completo. La autenticación multifactor protege el momento del login. No protege la sesión ya establecida. Y es exactamente eso lo que explota EKZ Stealer: roba el cookie que prueba que el usuario ya se autenticó.
Esto cambia el cálculo de riesgo. Si su organización depende del MFA como control principal y no tiene protección de session tokens, la cadena de defensa tiene un eslabón que nadie estaba monitoreando.
El escenario se agrava cuando se considera que los cookies de sesión robados pueden dar acceso al email corporativo, portales internos, sistemas de ERP y plataformas cloud. Un solo cookie de sesión de O365 o Google Workspace puede ser la llave para acceso lateral a toda la infraestructura. EKZ Stealer no roba solo credenciales: roba el contexto de autenticación completo.
La cronología que importa
Abril de 2026: Fortinet lanza patches out-of-band. La CISA agrega al KEV. El mensaje es claro: explotación activa confirmada, patch obligatorio.
Siete semanas después: Arctic Wolf documenta explotación activa continuada. Los EMS expuestos siguen siendo encontrados y comprometidos. El patch cierra la ventana para nueva explotación. Pero no hace nada para instancias ya comprometidas.
Aquí está la pregunta que pocos están haciendo: ¿qué se hizo push antes del upgrade? ¿Qué credenciales fueron robadas durante la ventana de exposición? "Aplicamos el patch" es una afirmación sobre riesgo futuro. La pregunta sobre el estado presente es: ¿qué ya sucedió mientras estábamos vulnerables?
Solo se responde con telemetry, hunting y rotación de credenciales. El patch es necesario. No es suficiente.
La discrepancia entre "patch disponible" y "ambiente seguro" es donde operan los atacantes. No necesitan un zero-day cuando la ventana de patching es de semanas. Necesitan EMS expuestos, y hay muchos.
La lección estructural
El software con privilegios elevados en cada endpoint es un objetivo de alto valor precisamente por esos privilegios. FortiClient EMS tiene acceso de management a toda la flota. Cuando ese acceso es comprometido, el radio de impacto es total: no un endpoint, sino todos.
Cuando la herramienta de seguridad se convierte en el mecanismo de ataque, el modelo de confianza se invierte. El agente que debería proteger se vuelve el vector de infección. Y la infraestructura que debería aislar se convierte en el canal de distribución.
En Tech86 auditamos infraestructura de endpoints y reemplazamos EMS comprometidos por arquitecturas con aislamiento real entre el plano de management y los endpoints. Su antivirus no puede ser el vector de infección. Si puede, la arquitectura está mal.