FortiClient EMS 预身份验证 SQL 注入漏洞 (CVE-2026-21643)

近期，Fortinet 旗下的终端安全管理系统 FortiClient EMS 被曝存在一个极其严重的 SQL 注入漏洞。该漏洞允许攻击者在无需任何身份验证的情况下，远程执行恶意 SQL 命令，甚至控制底层服务器。

📌 漏洞概览

• CVE 编号： CVE-2026-21643
• CVSS 评分： 9.1 (严重/Critical)
• 漏洞类型： 预认证 SQL 注入 (Pre-Auth SQL Injection)
• 利用条件： 仅影响启用了 多租户模式 (Multi-tenant/Sites) 的环境。
• 当前状态： 野外已有活跃攻击，且公开验证脚本 (PoC) 已流出。

🔍 技术详情

攻击者通过构造特殊的 Site HTTP 请求头，向公开端点（如 /api/v1/init_consts 或登录端点）发送请求。由于系统在验证身份前未对该 Header 进行严格过滤，导致恶意 SQL 语句直接作用于后端的 PostgreSQL 数据库。

潜在危害：

1. 敏感数据泄露： 完整导出数据库内容、提取架构信息。
2. 高权限访问： 在许多配置中，数据库以超级用户权限运行。
3. 远程代码执行 (RCE)： 攻击者可利用 PostgreSQL 的特性（如 COPY FROM PROGRAM）在底层操作系统上执行命令。

🛠 受影响版本

• 受影响： 仅限 FortiClient EMS 7.4.4（且开启了多租户功能）。
• 不受影响： 7.2.x 版本、8.0.x 版本，以及未启用多租户的单站点部署。

💡 排查与检测

1. 版本自查： 检查 EMS 管理面板版本号是否为 7.4.4。 2. 盲注测试： 渗透测试人员可使用 pg_sleep(5) 等时间盲注载荷进行验证。 3. 资产测绘 (Dorks)：

• Shodan: Model: FCTEMS 或 "FortiClient EMS"
• Google/FOFA: http.title:"FortiClient EMS" "7.4.4"

🛡 修复建议

立即行动：

1. 升级固件： 官方已发布修复程序，请务必尽快升级至 7.4.5 或更高版本。
2. 访问控制： 在补丁应用前，建议通过防火墙限制对 EMS 登录页面的公网访问，或仅允许特定 IP 访问。
3. 日志审计： 检查 Web 服务器日志中是否存在针对 /api/v1/init_consts 且带有异常 Site 标头的请求。

🔗 参考资源

• 深度技术分析 (Bishop Fox): 点击访问
• 公开 PoC (GitHub): 点击访问

⚡ 提醒： 目前全球有数千台暴露在公网的 EMS 实例，此类漏洞是勒索软件团队的首选入口。请各企业运维及安全负责人尽快自查！

#网络安全 #漏洞预警 #Fortinet #SQL注入 #CVE202621643