FortiClient EMS acigiyla kurumlara sinsi parola hirsizligi saldirisi

Geçtiğimiz dönemde FortiClient EMS acigi kurumların başını fena ağrıtıyor. Saldırganlar, özellikle büyük şirketlerin ağlarında, bu açığı kullanarak kimlik bilgilerini çalan yazılımlar dağıtıyor. Yama yapılmış olsa da, birçok kurumun hala risk altında olduğunu anlatan örnekler, siber güvenlik dünyasında 2026’ya damgasını vurmuş durumda.

FortiClient EMS acigi nasil suistimal ediliyor?

Buradaki EMS acigi, saldırgana sistem üzerinde yönetici imkanı veren bir anahtar gibi çalışıyor. Tıpkı apartman yöneticisinin anahtarıyla herkesin kapısını açabiliyor olması gibi. Saldırganlar, CVE-2026-35616 kodlu bu kritik açığı kullanıyor; kimlik doğrulama gerektirmeden API erişimini ele geçiren saldırgan, EMS yönetim arayüzünden tüm uç noktalara istedikleri yazılımı gönderebiliyor.

Kurumsal ortamlarda parola hırsızlığı: Neden bu kadar tehlikeli?

Bu saldırılarda amaç, sadece bir makineye sızmak değil; tüm ağdaki cihazları aynı anda hedef almak. Çünkü parola hırsızlığı zincirleme bir etkiye sahip. Bir hesabın ele geçirilmesiyle, saldırganlar bulut servislerinden dahili uygulamalara, hatta diğer hassas sistemlere kadar birçok kaynağa erişim sağlayabilirler.

PowerShell ve fortitray.exe nasıl kullanıldı?

Burada saldırganların zekasına hayran bırakacak bir yöntem var: Yazılım güncellemesi gibi görünen sahte bir dosya (FortiEndpoint_Patch.exe) gönderiyorlar. Aslında bu dosya, Windows’un meşhur PowerShell aracı ile zararlı kod çalıştırmak için hazırlanmış. Üstelik, FortiClient’in yasal “fortitray.exe” dosyasını kullanarak şüphe çekmeden işlemlerini gerçekleştiriyorlar. Yani, kapıdan girerken zilin gerçek sesini kullanıyorlar diyebiliriz.

Şirketler neden hala risk altında?

Fortinet hızlıca yama yayımladı (EMS 7.4.7 ve sonrası) ama dünyanın dört bir yanında birçok kurum hala eski sürümleri kullanıyor. Güncellemeyi geciktiren, yedekleme süreçlerini aksatan veya zafiyet taramalarını düzenli yapmayan firmalar ciddi tehdit altında. Bu saldırı türü, “bizde olmaz” diyenlerin kafasını değiştirecek türden bir örnek.

Veriler nasıl ve nereye kaçırılıyor?

Ele geçirilen cihazlardan parola, çerez, kredi kartı ve otomatik doldurma bilgileri bir log dosyasına yazılıyor. Sonrasında PowerShell üzerinden, saldırganların kontrolündeki sunucuya HTTP POST ile gönderiliyor. Yani çalınan bilgiler, neredeyse hiç iz bırakmadan kurumsal ağdan dışarı aktarılabiliyor. Burada ilginç olan; zararlı dosyanın ağda kendisi doğrudan veri çıkarmıyor, bu görevi PowerShell aracılığıyla script üstleniyor.

Daha önce benzer saldırılar yaşandı mı?

Kurumsal yönetim araçları üzerinden zincirleme saldırılar ilk defa yaşanmıyor. 2021’de Kaseya saldırısında da benzer bir model vardı: Bir yönetim paneli ele geçirilince, yüzlerce şirkete zararlı yazılım tek seferde dağıtılmıştı. Fakat FortiClient EMS acigi ile saldırganlar, yönetim kanalının “güven”ini suistimal ederek, kurum içi en kritik verilere ulaşabiliyor.

Siber güvenlik uzmanları ne öneriyor?

Sektörün deneyimli isimlerine göre, bu tür yönetim arayüzü açıkları en hızlı kapatılması gereken riskler arasında. Çünkü tek bir zafiyet, yüzlerce makineyi aynı anda savunmasız bırakıyor. Gerçek veriyle konuşursak: Son 1 yılda endpoint yönetim çözümlerine yönelik saldırılarda %60 artış yaşandı.

• FortiClient EMS ve benzeri araçlarda düzenli olarak güncelleme yapın.
• Yönetim arayüzlerini mümkünse VPN ve 2FA arkasına alın.
• Zafiyet taramalarını aylık periyotta otomatikleştirin.
• Güncellemeleri sadece imzalı ve orijinal kaynaklardan alın.
• Kullanıcıların parola yönetimi alışkanlıklarına eğitimle yatırım yapın.
• Şüpheli PowerShell aktivitelerini log analizleriyle yakalayın.

Kurumsal saldırı zincirini kırmak mümkün mü?

Yönetim kanalı açığı, zincirin zayıf halkasını oluşturuyor. Bunu kırmak için hızlı yama, görünürlük sağlayan log yönetimi ve çok katmanlı doğrulama şart. Kısacası, sızmaya çalışan saldırganı apartmanın girişinde yakalamak için gerekli yatırımı yapmalısınız. Şirketinizin siber dayanıklılığını artırmak istiyorsanız, yönetim altyapısına yönelik açıklar ilk sırada kapanmalı. Unutmayın, zincir en zayıf halkası kadar güçlü.

FortiClient EMS acigi’nın teknik detayları

FortiClient EMS acigi, Fortinet’in uç nokta yönetim yazılımındaki API katmanında bulunuyor. Saldırgan, kimlik doğrulaması olmadan özel olarak hazırlanmış bir HTTP isteği göndererek sistem üzerinde kod çalıştırabiliyor. Bu, klasik bir uzaktan kod yürütme (RCE) açığı. API güvenliğinin ihlaliyle, saldırgan EMS sunucusunda yönetim haklarına sahip oluyor; bu da yüzlerce istemciye zararlı yazılımı tek hareketle yayabilmek anlamına geliyor.

Bazı durumlarda saldırganlar, EMS sunucusunun yönetim portunu internetten tarayarak savunmasız örnekleri tespit ediyor. Şirket iç ağlarındaki yanlış yapılandırmalar da saldırının kolay yapılmasını sağlıyor. Özellikle, internetten erişilebilen yönetim portlarının açık bırakılması büyük bir hata.

Türkiye’deki kurumlar için özel riskler

Türkiye’de pek çok kurum, globaldeki büyük firmalar kadar hızlı güncelleme yapamıyor veya siber güvenlik farkındalığı henüz yeterli seviyede değil. Özellikle küçük ve orta ölçekli şirketlerde, eski sürüm FortiClient EMS’lerin kullanılmaya devam edildiği görülüyor. Ayrıca, yönetim paneline dış ağdan erişim bırakılması ya da yedeklemenin tamamen lokal sunucularla sınırlı kalması, saldırı sonrası hızlı kurtarma imkanını da ortadan kaldırıyor.

Birçok Türk şirketi, “herkesin hedefi büyük şirketler” yanılgısıyla savunma bütçesini düşük tutuyor. Ancak, saldırganlar otomatik tarama araçlarıyla tüm dünyayı tarayabildiği için, küçük şirketler de rastgele hedef olabiliyor.

SIEM ve güvenlik otomasyonu: Olaylara müdahalede yeni nesil yaklaşım

Modern saldırılar ve FortiClient EMS acigi gibi zafiyetlere karşı SIEM (Security Information and Event Management) çözümleriyle olaylara anlık müdahale etmek artık lüks değil, zorunluluk. Kurum içi ağda şüpheli hareket algılandığında, otomatik olarak karantinaya alma, ilgili yöneticilere bildirim gönderme ve anında log kaydı oluşturma gibi otomasyonlar, zararın yayılmadan önlenmesini sağlıyor.

Türkiye’de birçok kurum SIEM ürünlerini satın almasına rağmen, etkin kural ve alarm tanımlamalarını yapmıyor. Mutlaka SIEM kurallarını güncel tehditlere göre optimize edin. Özellikle, yönetim portlarına yapılan beklenmedik API çağrılarını ve toplu yazılım dağıtımlarını anında izleyin.

Zafiyet yönetimi ve pratik öneriler

• Asset inventory yani varlık envanterini çıkarın. Hangi yönetim yazılımlarının hangi sürümde olduğunu bilmeden risk analizi yapılamaz.
• İnternete açık yönetim portlarını mutlaka sınırlandırın; sadece belirli IP’lere izin verin.
• Otomatik güncellemeler mümkünse açılmalı, ancak önce test ortamında denemeden prodüksiyona geçmeyin.
• Şüpheli dosya transferlerini (özellikle PowerShell ve fortitray.exe aktivitelerini) antivirüs ve EDR ile takip edin.
• Çalışanlara e-posta üzerinden gelen “yazılım güncellemesi” linklerini açmamaları gerektiğini, şirket portalları dışında dosya indirmemeleri gerektiğini sık sık hatırlatın.
• Yedekleme stratejinizi gözden geçirin; çevrimdışı ve dış kaynaklı yedekler bulundurun.

Olası saldırı senaryosu ve kurumlara dersler

Bir saldırgan, internetten açıkta bulduğu bir yönetim panelini saniyeler içinde tarayabilir. FortiClient EMS acigi ile sunucuyu ele geçirip, bir PowerShell script’iyle tüm istemcilerde oturum açma bilgilerini toplayabilir. Sonrasında bu bilgileri yurtdışındaki bir sunucuya aktarır. Kurum, çoğu zaman iş işten geçene kadar hiçbir anormallik fark etmez. IT ekibi olağan dışı ağ trafiği veya anlık uygulama yüklemelerini loglardan göremiyorsa, saldırının önüne geçmek çok zor olur.

Bu gibi olaylardan ders çıkarmak isteyen şirketlere önerim: Yama süreçlerinde insan hatasını minimuma indirin, yönetim panellerini asla internete açık bırakmayın ve düzenli sızma testleri yaptırın. Unutmayın, saldırganlar fırsatçıdır; nerede kolay bir açıklık bulurlarsa oradan sızmaya çalışırlar.

Sonuç: FortiClient EMS acigi ve gelecek için dikkate alınması gerekenler

FortiClient EMS acigi, Türkiye’de ve dünyada yönetim arayüzlerinin ne kadar kritik olduğunu, klasik savunma yöntemlerinin tek başına yeterli kalmadığını gösteriyor. Kimlik doğrulama zafiyetleri, otomatik saldırı araçları ve modern siber tehditler, tüm kurumları proaktif güvenlik yaklaşımına itiyor. Yama ve güncellemelerin hızlıca yayılması, yönetim portlarının sıkı korunması ve çalışanların eğitimi, saldırı zincirinin kırılmasında hayati önem taşıyor.

Kısacası, teknoloji hızla ilerlerken, tehditler de daha akıllı ve otomatik hale geliyor. Kurumların; sadece savunma duvarına değil, iç ağ güvenliğine, log yönetimine ve siber güvenlik farkındalığına yatırım yapması şart. FortiClient EMS acigi de net bir şekilde bu gerçeği bir kez daha gözler önüne seriyor.

Sıkça Sorulan Sorular