---

📋 概述

CVE-2026-21643 是一个 严重 的 SQL 注入漏洞 (CWE-89)，仅影响 Fortinet FortiClient 端点管理服务器 (FortiClientEMS) 版本 7.4.4。

未认证 的远程攻击者可以向基于 Web 的管理界面 (GUI) 发送特制的 HTTP 请求，并执行未经授权的 SQL 命令。这可能导致系统完全受损，包括在服务器上执行任意代码。

关键风险: 该漏洞是 预认证 的，使得任何暴露在互联网上或可达的 FortiClientEMS 实例成为高价值目标。

---

🔍 技术细节

• CVE ID: CVE-2026-21643
• Fortinet IR: FG-IR-25-1142
• 严重性: 严重
• CVSS v3.1 评分: 9.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
• 漏洞类型: 对 SQL 命令中使用的特殊元素的中和不当 (SQL 注入)
• 受影响组件: 管理 Web 界面 (GUI)
• 攻击向量: 远程，通过特制 HTTP 请求（据报告涉及多租户设置中的 Site 头部和类似 /api/v1/init_consts 的端点）
• 是否需要认证: 无
• 用户交互: 无
• 已知公开利用: 否（截至 2026 年 3 月）
• 发现者: 由 Fortinet 内部发现 (Gwendal Guégniaud，产品安全团队)

---

📊 受影响版本

---

✅ 修复措施

建议立即采取行动:

1. 立即升级 到 FortiClientEMS 7.4.5 或任何更新版本（包括 8.0 分支）。
2. 限制对管理 GUI 的访问：
   • 将其置于 VPN、防火墙或零信任解决方案之后。
   • 避免将 EMS Web 界面直接暴露在互联网上。
3. 监控日志中是否存在对管理端点的可疑请求（例如，涉及 Site 头部或基于错误的 SQLi 模式）。
4. 如果可用，应用 FortiGuard IPS 签名以提供额外保护。

官方 Fortinet 公告:
https://fortiguard.fortinet.com/psirt/FG-IR-25-1142

---

🛡️ 缓解措施与最佳实践

• 补丁优先级: 高 — 由于其预认证性质，应视为紧急情况。
• 如果无法立即修补，请阻止对 EMS 管理接口的外部访问。
• 审查多租户配置（由于 Site 头部的处理而更加暴露）。
• 启用详细日志记录并监控数据库错误泄露。
• 定期扫描您的环境，查找暴露的 FortiClientEMS 实例。

注意: 该缺陷是在 7.4.4 版本中与多租户支持相关的一次中间件重构期间引入的，并在 7.4.5 中被静默修补。

---

📚 参考资料与延伸阅读

• NVD - CVE-2026-21643
• Fortinet PSIRT Advisory FG-IR-25-1142
• Arctic Wolf 分析
• The Hacker News 报道
• Qualys ThreatPROTECT
• SentinelOne 漏洞数据库

---

📌 免责声明

此仓库仅用于 防御安全、意识提升和信息参考目的。请始终参考 Fortinet 官方公告以获取最准确和最新的指导。

此处不包含任何公开漏洞利用程序。

---

⭐ 给此仓库加星 如果它帮助您保持安全！
🛠️ 欢迎通过拉取请求提交贡献、更正或额外的 IOCs。

最后更新: 2026 年 3 月