🚨 CVE-2026-21643 "FortiGhost" : FortiClientEMS 내 인증 전 SQLi RCE

bfx25_Blog-Forticlient-CVE-2026-21643-F

FortiClientEMS 7.4.4에서의 인증되지 않은 SQL 인젝션
관리 GUI로 조작된 HTTP 요청을 통한 잠재적 원격 코드 실행

📋 개요

CVE-2026-21643은 Fortinet FortiClient Endpoint Management Server (FortiClientEMS) 버전 7.4.4에만 영향을 미치는 치명적인 SQL 인젝션 취약점(CWE-89)입니다.

인증되지 않은 원격 공격자는 웹 기반 관리 인터페이스(GUI)에 특수하게 조작된 HTTP 요청을 전송하여 승인되지 않은 SQL 명령을 실행할 수 있습니다. 이로 인해 서버에서 임의 코드 실행을 포함한 전체 시스템 손상이 발생할 수 있습니다.

주요 위험: 이 취약점은 인증 전이므로 인터넷에 노출되거나 접근 가능한 FortiClientEMS 인스턴스는 고가치 표적이 됩니다.

CVE ID: CVE-2026-21643
Fortinet IR: FG-IR-25-1142
심각도: 치명적
CVSS v3.1 점수: 9.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
취약점 유형: SQL 명령에 사용된 특수 요소의 부적절한 중화 (SQL 인젝션)
영향받는 구성 요소: 관리 웹 인터페이스 (GUI)
공격 경로: 원격, 특수하게 조작된 HTTP 요청을 통해 (멀티 테넌트 설정에서 Site 헤더 및 /api/v1/init_consts와 같은 엔드포인트 관련)
인증 필요: 없음
사용자 상호작용: 없음
알려진 공개 악용: 없음 (2026년 3월 기준)
발견자: Fortinet 내부 (Gwendal Guégniaud, 제품 보안팀)

긴급 조치 권장:

즉시 업그레이드하여 FortiClientEMS 7.4.5 이상 릴리스(8.0 브랜치 포함)로 업데이트하세요.
관리 GUI에 대한 접근 제한:
- VPN, 방화벽 또는 제로 트러스트 솔루션 뒤에 배치.
- EMS 웹 인터페이스를 인터넷에 직접 노출하지 마십시오.
관리 엔드포인트로의 의심스러운 요청(예: Site 헤더 또는 오류 기반 SQLi 패턴)에 대한 로그 모니터링.
추가 보호를 위해 가능한 경우 FortiGuard IPS 시그니처를 적용하세요.

공식 Fortinet 권고문:
https://fortiguard.fortinet.com/psirt/FG-IR-25-1142

참고: 이 결함은 7.4.4에서 멀티 테넌시 지원과 관련된 미들웨어 리팩토링 중에 도입되었으며 7.4.5에서 조용히 패치되었습니다.

이 저장소는 방어적 보안, 인식 및 정보 제공 목적으로만 유지됩니다. 가장 정확하고 최신의 지침을 위해 항상 공식 Fortinet 권고문을 참조하십시오.

여기에는 공개 악용 코드가 포함되어 있지 않습니다.

⭐ 이 저장소에 별표를 눌러 보안 유지에 도움이 되었다면 알려주세요!
🛠️ 기여, 수정 또는 추가 IOC는 풀 리퀘스트를 통해 환영합니다.

마지막 업데이트: 2026년 3월