9.6Critical

CVE-2026-121529 FortiClient 本機 API Origin 驗證錯誤導致遠端程式碼執行

揭露日期 2026-11-10CVSS 3.1：CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

對象一般使用者網管資安 IT

CWE-346 CWE-346

未列入 CISA KEV

⚠️ 網路已有公開 PoC。來源

三句重點

成因: FortiClient 本機 API 端點存在 Origin 驗證錯誤（CWE-346），未正確驗證請求來源。
影響: 未授權遠端攻擊者可在受害者互動後，以 FortiClient 服務帳戶權限執行未授權程式碼或命令。
條件: 需安裝受影響版本且本機 API 運作中，並需使用者互動；官方未確認是否必須啟用 FortiPAM。

版本比對

套件	❌ 受影響版本	✅ 安全版本
FortiClientMac	`7.4.0 through 7.4.7`	`>= 7.4.8`
FortiClientWindows	`7.4.0 through 7.4.7；7.2.0 through 7.2.14`	`>= 7.2.15 / 7.4.8`
FortiClientWindowsPAM	`7.4.0 through 7.4.7；7.2.0 through 7.2.14（CNA／NVD 僅列 7.4.7 與 7.2.14）`	`>= 7.2.15 / 7.4.8`

修補方式

FortiClientMac（7.4.0 through 7.4.7）：升級至 7.4.8 以上版本
FortiClientWindows（7.4.0 through 7.4.7；7.2.0 through 7.2.14）：升級至 7.2.15 / 7.4.8 以上版本
FortiClientWindowsPAM（7.4.0 through 7.4.7；7.2.0 through 7.2.14（CNA／NVD 僅列 7.4.7 與 7.2.14））：升級至 7.2.15 / 7.4.8 以上版本

攻擊思路

前置條件：端點安裝受影響版本的 FortiClientMac、FortiClientWindows 或 FortiClientWindowsPAM，且本機 API 端點存在 Origin 驗證錯誤。來源
使用者互動：未授權遠端攻擊者需受害者互動後方可利用；官方將攻擊類型列為 Unauthenticated，CVSS 標示 UI:R。來源
來源驗證繞過：攻擊者對 FortiClient 本機 API 發出請求，因 Origin 驗證錯誤（CWE-346）而未正確驗證來源，請求得以觸達本機服務。來源
權限提升：本機 API 以 FortiClient 服務帳戶執行未授權程式碼或命令；官方列 Escalation of privilege，範圍變更（S:C），機密性、完整性與可用性皆為 High。來源

偵測提示

FortiClient EMS 或 RMM：盤點 FortiClientMac 7.4.0 through 7.4.7、FortiClientWindows 與 WindowsPAM 7.4.0 through 7.4.7 及 7.2.0 through 7.2.14，並推送修補版本。
端點 FortiClient 版本：確認是否已達 7.4.8、7.2.15 或 8.0.0；Windows PAM 建議依 FG-IR-26-194 連續區間升級，而非僅 CNA／NVD 列出的點版本。
FortiClient 本機 API 服務：檢查受影響端點上本機 API 是否仍在運作；官方未公布路徑與連接埠，請以產品服務與設定為準。
端點程序與服務帳戶：觀察 FortiClient 服務帳戶是否異常啟動程式或命令；Windows 端點上社群描述執行權限可達 SYSTEM。
瀏覽器與使用者行為：成功利用需使用者互動；修補完成前留意開啟不可信連結後，本機安全軟體隨即出現異常行為。
FortiPAM 與 privileged-access：官方未確認是否必須啟用 FortiPAM；不需要該整合的端點可先關閉，並核對是否仍暴露本機 API。
事後憑證與排程：升級無法清除既已執行的命令、排程或外洩憑證，需另行檢查異常工作與憑證是否遭濫用。
利用情報：官方列 Known Exploited: No，CISA KEV 未列入；已有公開 PoC 等級程式碼，需持續追蹤是否出現在野利用。

暫時緩解

依 FG-IR-26-194，將 FortiClientMac、FortiClientWindows、FortiClientWindowsPAM 7.4 升級至 7.4.8 或以上；將 FortiClientWindows、FortiClientWindowsPAM 7.2 升級至 7.2.15 或以上；亦可升級至 8.0.0 或以上。官方未提供 workaround 或虛擬修補。建議經 FortiClient EMS 或 RMM 盤點並推送修補。不需要 privileged-access／FortiPAM 的端點可先關閉該整合，修補前避免開啟不可信連結。升級無法清除既已執行的命令、排程或外洩憑證。

通報團隊

複製成可直接貼到 Slack 或 Email 的通報文字。

預覽通報內容

🚨【資安漏洞通報】CVE-2026-121529
等級：Critical (9.6)
受影響套件：FortiClientMac 7.4.0 through 7.4.7、FortiClientWindows 7.4.0 through 7.4.7；7.2.0 through 7.2.14、FortiClientWindowsPAM 7.4.0 through 7.4.7；7.2.0 through 7.2.14（CNA／NVD 僅列 7.4.7 與 7.2.14）
漏洞簡述：FortiClient 本機 API 端點存在 Origin 驗證錯誤（CWE-346），未正確驗證請求來源。；未授權遠端攻擊者可在受害者互動後，以 FortiClient 服務帳戶權限執行未授權程式碼或命令。；需安裝受影響版本且本機 API 運作中，並需使用者互動；官方未確認是否必須啟用 FortiPAM。
建議措施：依受影響版本升級：FortiClientMac（7.4.0 through 7.4.7）升級至 7.4.8 以上；FortiClientWindows（7.4.0 through 7.4.7；7.2.0 through 7.2.14）升級至 7.2.15 / 7.4.8 以上；FortiClientWindowsPAM（7.4.0 through 7.4.7；7.2.0 through 7.2.14（CNA／NVD 僅列 7.4.7 與 7.2.14））升級至 7.2.15 / 7.4.8 以上
詳細連結：https://cve.eacc.online/cve/CVE-2026-121529