CVE-2026-35616 & CVE-2026-21643 – Fortinet FortiClientEMS : présentation et points à retenir

CVE-2026-35616 & CVE-2026-21643 – Fortinet FortiClientEMS : présentation et points à retenir

Question simple : si CVE-2026-21643 (et ce qui va avec) arrive chez toi demain matin, tu sais exactement quoi vérifier en 30 minutes ?

Niveau : intermédiaire → expert. Ton : pédagogique, questions, checklist.

Mots-clés SEO : formation cybersécurité · formation cyber · apprendre la cybersécurité · cours cybersécurité · certification cybersécurité · SOC · blue team · incident response · pentest · threat hunting · vulnérabilités CVE · sécurité cloud · CVE-2026-21643 · CVE-2026-35616

Source : NetSPI Blog

---

TL;DR (utile)

Fortinet has divulguée two critique vulnérabilités in FortiClient Endpoint Management Server (EMS) that are both under active exploitationation in the wild.

The post

CVE associées : CVE-2026-21643, CVE-2026-35616, CVE-2026-21643, CVE-2026-35616

Source primaire : NetSPI Blog

Ce que ça change vraiment (pas la version LinkedIn)

• DevSecOps : si tu ne sais pas quelle version tourne en prod (SBOM / inventaire), tu ne patches pas, tu espères.
• SOC : la question n’est pas “si” mais “quand” — et si tu détectes après l’exfiltration, c’est trop tard.
• Management : “on a du MFA” ne protège pas un secret déjà volé (tokens, sessions, clés API).

Analyse technique (intermédiaire/expert)

Chaîne d’attaque (modèle mental)

1. Exposition : service public / endpoint admin / CI/CD / artefacts.
2. Exploitation : vuln / logique / config → exécution ou contournement.
3. Accès : tokens, sessions, clés, secrets, comptes de service.
4. Expansion : IAM, latéral, persistance légère.
5. Impact : vol, chiffrement, fraude, backdoor.

Checklist “30 minutes” (ce que je ferais demain matin)

• Versions : confirmer versions exactes et composants exposés.
• Logs : pics 4xx/5xx, endpoints rares, payloads longs, user-agents anormaux.
• Secrets : rotation des tokens/keys + audit des accès récents.
• Cloud/IAM : connexions impossibles, créations de clés, changements de rôles.

Détection & réponse (SOC / IR)

Tu veux du concret ? Voilà la différence entre “on a un SOC” et “on fait du bruit” :

• Détection : règles sur les routes critiques + alertes sur créations de tokens/sessions.
• Containment : WAF/ACL, désactivation temporaire des endpoints, rotation des secrets.
• Eradication : patch + recherche d’artefacts + re-image si compromission avérée.
• Rétro : timeline, IOAs/IOCs, et surtout — corriger le contrôle qui a échoué.

Leçon “formation cyber” (ce que tu dois apprendre)

Si tu veux vraiment progresser en formation cybersécurité, ne lis pas juste l’actualité : transforme-la en exercice.

• Écris la chaîne d’attaque (5 étapes max).
• Liste 10 signaux observables (logs/app/IAM/EDR).
• Définis 5 actions de remédiation (patch, secrets, durcissement, monitoring).

Pour aller plus loin

Si tu veux t’entraîner sur des cas proches (DevSecOps/SOC/IR) : formation cyber & labs (cas pratiques).