文章总结： Fortinet发布紧急公告修复FortiClientEMS严重漏洞CVE-2026-21643，CVSS评分9.1。该SQL注入漏洞源于特殊元素处理不当，允许未经身份验证的攻击者通过构造HTTP请求执行未授权代码。受影响版本为7.4.4，需升级至7.4.5或更高版本。漏洞由Fortinet内部安全团队发现，目前利用状态未知。
综合评分： 75
文章分类： 漏洞预警,漏洞分析,网络安全

Fortinet FortiClientEMS 存在严重漏洞，可远程执行代码

原创

ZM
ZM

暗镜

2026年2月10日 09:01
北京

Fortinet 发布紧急公告，以解决 FortiClientEMS 的一个严重漏洞，该漏洞编号为 CVE-2026-21643（CVSS 评分为 9.1）。

该漏洞是 FortiClientEMS 中 SQL 命令（“SQL 注入”）问题的特殊元素未得到妥善处理。未经身份验证的攻击者可以通过精心构造的 HTTP 请求触发此漏洞，执行未经授权的代码或命令。

该安全公告指出：“FortiClientEMS 中 SQL 命令（‘SQL 注入’）漏洞 [CWE-89] 中使用的特殊元素处理不当，可能允许未经身份验证的攻击者通过精心构造的 HTTP 请求执行未经授权的代码或命令。”

一次成功的攻击可能会让攻击者在目标网络中获得初步立足点，从而实现横向移动或恶意软件部署。

该漏洞是由 Fortinet 产品安全团队的 Gwendal Guégniaud 在内部发现并报告的。

受影响的版本如下：

| 版本 | 做作的 | 解决方案 |
| — | — | — |
| FortiClientEMS 8.0 | 未受影响 | 不适用 |
| FortiClientEMS 7.4 | 7.4.4 | 升级到 7.4.5 或更高版本 |
| FortiClientEMS 7.2 | 未受影响 | 不适用 |

该公司并未透露该漏洞目前是否已被实际利用。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：暗镜 ZM
ZM《Fortinet FortiClientEMS 存在严重漏洞，可远程执行代码》