Pada 1 Oktober 2026 Fortinet menerbitkan imbauan keamanan tentang celah di FortiMail, gateway keamanan email yang dipasang banyak perusahaan di depan kotak surat mereka untuk memeriksa email masuk dan keluar. Celah ini, CVE-2026-104286, dinilai 9.8 dari 10, dapat dieksploitasi oleh penyerang tanpa akun dan tanpa kata sandi, dan Fortinet menyatakan celah ini sedang dieksploitasi secara aktif. Pada hari yang sama, Otoritas Keamanan Siber Nasional Arab Saudi (NCA) mengeluarkan peringatan 2026-7895 dengan tingkat keparahan Kritis, dan Badan Keamanan Siber dan Infrastruktur AS (CISA) menambahkannya ke katalog kerentanan yang diketahui telah dieksploitasi.

Mengapa celah ini penting bagi manajemen sebelum TI

Minggu lalu kami menulis tentang celah yang dieksploitasi di pengelola jaringan cabang Cisco dan pertanyaan tentang siapa yang menambal sistem terkelola di perusahaan Anda. Celah ini berbeda dalam hal yang penting bagi manajemen sebelum TI: di antara indikator kompromi yang dipublikasikan Fortinet ada baris log yang menunjukkan penyerang menambahkan akun arsip email yang tujuannya adalah server eksternal. Risikonya di sini tidak berhenti di perangkat. Risikonya menjangkau email perusahaan itu sendiri.

Apa yang dipublikasikan Fortinet

  • Produk: FortiMail, gateway keamanan email dari Fortinet.
  • Celahnya: kelemahan path traversal yang dikombinasikan dengan penanganan byte NULL yang tidak tepat dalam permintaan, sehingga permintaan HTTP atau HTTPS yang dirancang khusus dapat menulis file ke sistem perangkat itu sendiri. Fortinet menilai dampaknya sebagai eksekusi kode atau perintah tanpa izin.
  • Prasyarat: tidak ada. Penyerang jarak jauh yang tidak terautentikasi, dengan skor CVSS 9.8 dari 10.
  • Status: dieksploitasi secara aktif menurut Fortinet, dan ditemukan secara internal oleh tim keamanannya sendiri.
  • Perbaikan: saat imbauan dirilis, belum ada pembaruan yang tersedia, dan SecurityWeek melaporkan pada 2 Oktober bahwa perbaikan akan hadir di versi mendatang tanpa tanggal rilis. Catatan rilis Fortinet kemudian mencantumkan tanggal 2 Oktober untuk versi 7.6.7 dan tanggal 3 Oktober untuk versi 7.4.9 dan 8.0.2, dan pada 5 Oktober Fortinet memperbarui bagian solusi dalam imbauan. Versi yang sudah diperbaiki ada di tabel di bawah.
  • Peringatan lokal: peringatan 2026-7895 dari Otoritas Keamanan Siber Nasional, tertanggal 1 Oktober 2026, tingkat keparahan Kritis, yang merekomendasikan agar produk yang terdampak diperbarui.
  • Tenggat di AS: CISA memberi lembaga federal AS waktu hingga 4 Oktober, tiga hari, dan mewajibkan persyaratan triase forensiknya untuk celah ini. Ini adalah kerentanan Fortinet kedelapan yang ditambahkan badan tersebut ke katalognya sejak awal 2026.

Versi yang terdampak dan yang sudah diperbaiki, menurut imbauan:

Cabang rilisVersi terdampakPerbaikan
8.08.0.0 hingga 8.0.18.0.2 atau lebih baru
7.67.6.0 hingga 7.6.67.6.7 atau lebih baru
7.47.4.0 hingga 7.4.87.4.9 atau lebih baru
7.27.2.0 hingga 7.2.9Pindah ke cabang 7.4 atau lebih baru

Perhatikan baris terakhir: cabang 7.2 tidak mendapat perbaikan di dalam cabangnya. Cabang ini perlu pindah ke cabang lain, yang memerlukan perencanaan tetapi tidak bisa ditunda.

Mengapa gateway email begitu penting

Gateway email berada di antara internet dan kotak surat karyawan Anda, sehingga setiap pesan masuk dan keluar melewatinya: penawaran harga, faktur pemasok, kontrak, korespondensi bank, dan permintaan perubahan data rekening bank. Itulah sebabnya gateway ini memiliki kewenangan luas atas email. Inilah sistem yang memeriksa, mengarantina, mengenkripsi, dan mengarsipkan pesan.

Jalur yang dieksploitasi celah ini termasuk dalam fitur IBE, enkripsi berbasis identitas, yang digunakan FortiMail untuk mengirim pesan terenkripsi yang dibuka penerima melalui portal web. Dalam banyak konfigurasi, portal itu dapat diakses dari internet agar penerima di luar perusahaan dapat menggunakannya.

Jejak yang harus dicari tim Anda: akun arsip yang tidak pernah dibuat siapa pun

Bersama imbauan, Fortinet memublikasikan indikator kompromi. Indikator tersebut mencakup dua alamat IP, 79.141.169.187 dan 45.129.0.192, serta satu baris log peristiwa sistem yang menunjukkan penambahan akun arsip bernama archive234, dengan server jarak jauh sebagai tujuannya: alamat yang sama, 79.141.169.187, di direktori bernama /uploads. Baris yang sama menunjukkan perubahan itu dilakukan dengan nama pengguna admin, dari baris perintah.

Untuk memahami arti baris itu: fitur pengarsipan FortiMail menyimpan pesan yang diarsipkan di akun arsip, dan setiap akun memiliki tujuan. Tujuannya bisa lokal, di disk perangkat atau server penyimpanan jaringan, atau jarak jauh, di server yang dihubungi perangkat melalui FTP atau SFTP. Pesan mana yang diarsipkan ditentukan oleh kebijakan pengarsipan yang terpisah. Jadi, akun arsip yang diarahkan ke server penyerang, begitu kebijakan pengarsipan dikaitkan dengannya, menjadi jalur untuk menyalin pesan ke luar perusahaan. Imbauan tidak menyebutkan apakah ada email yang benar-benar disalin dalam kasus yang ditemukan.

Yang perlu diminta dari tim TI atau penyedia layanan Anda:

  • Tinjau setiap akun arsip dan kebijakan pengarsipan di perangkat, dan tanyakan setiap tujuan jarak jauh yang tidak dikenali siapa pun di perusahaan.
  • Cari di log dua alamat yang dipublikasikan, serta akun bernama archive234 atau akun arsip baru mana pun yang pembuatnya tidak diketahui.
  • Tinjau akun administrator di perangkat dan setiap perubahan konfigurasi yang tidak dapat dijelaskan siapa pun.
  • Simpan salinan log dan konfigurasi sebelum menambal. Pengaturan biasanya tetap ada setelah peningkatan versi, jadi akun yang ditambahkan sebelumnya tetap ada sampai seseorang menghapusnya. Tambalan menutup pintu. Tambalan tidak memberi tahu Anda siapa yang sudah masuk melaluinya.

Jika Anda tidak bisa menambal malam ini

Fortinet mencantumkan solusi sementara dengan tiga pilihan:

  • Nonaktifkan fitur IBE di GUI (Encryption, lalu IBE, lalu matikan IBE Service) atau dari baris perintah.
  • Atau blokir akses internet ke antarmuka webmail FortiMail, atau batasi ke jaringan pribadi tepercaya.
  • Atau, jika ada web application firewall di depan perangkat, blokir permintaan POST ke /ibe yang mengandung ../ .

Menonaktifkan IBE menghentikan pengiriman terenkripsi melalui fitur itu, jadi jika ada departemen yang bergantung padanya, sepakati alternatif sementara dengan mereka. Solusi sementara mempersempit siapa yang bisa menjangkau celah. Solusi ini tidak menggantikan peningkatan versi, dan tidak menghilangkan kebutuhan untuk memeriksa apa yang terjadi sebelumnya.

Kerugian sebenarnya sampai ke bagian keuangan berminggu-minggu kemudian

Menyalin email bukanlah tujuan itu sendiri. Siapa pun yang membaca korespondensi Anda dengan pemasok akan tahu siapa yang mengirim faktur, kapan, dalam format apa, dan pesanan pembelian mana yang menunggu pembayaran. Itulah persis bahan yang dibutuhkan penipuan pengalihan faktur: pesan yang tampak berasal dari pemasok, di dalam percakapan yang nyata, meminta agar pembayaran berikutnya dikirim ke rekening bank baru.

Menghentikan penipuan semacam ini tidak memerlukan teknologi. Yang diperlukan adalah aturan yang dipatuhi tim keuangan Anda mulai hari ini:

  • Rekening bank pemasok tidak pernah diubah hanya berdasarkan email, seasli apa pun kelihatannya.
  • Verifikasi melalui telepon ke nomor yang sudah ada di data pemasok, jangan pernah ke nomor yang tercantum di pesan itu sendiri.
  • Perubahan data rekening bank pemasok memerlukan persetujuan orang kedua selain orang yang memasukkannya, dan sistem mencatat siapa yang mengubahnya dan kapan.
  • Pembayaran pertama ke rekening bank baru ditinjau lebih teliti daripada yang lain.

Kami menjelaskan cara membangun alur perubahan data rekening bank ke dalam sistem di artikel kami tentang jadwal pembayaran pemasok dan rekonsiliasi rekening koran.

Jika ternyata pesan telah disalin

Jika tim Anda menemukan akun arsip yang tidak dikenal atau bukti bahwa pesan telah disalin, perlakukan hal itu sebagai pelanggaran data, bukan kesalahan konfigurasi, karena email biasanya memuat data pribadi: nama, nomor ponsel, dan alamat pelanggan. Panduan prosedural Otoritas Data dan Kecerdasan Buatan Saudi (SDAIA) tentang insiden pelanggaran data pribadi mewajibkan pengendali untuk memberi tahu otoritas yang berwenang dalam waktu 72 jam sejak mengetahui insiden yang dapat merugikan data atau orang pemiliknya, atau bertentangan dengan hak atau kepentingan mereka, dan memberi tahu subjek data yang terdampak tanpa penundaan yang tidak semestinya jika insiden itu merugikan data mereka atau bertentangan dengan hak atau kepentingan mereka. Beri tahu juga pemasok dan pelanggan yang korespondensinya terekspos, karena pesan penipuan yang memakai nama perusahaan Anda bisa sampai kepada mereka.

Pandangan Origami

Kami membangun sistem bisnis. Kami tidak menjual atau mengoperasikan perangkat email. Tetapi setiap sistem yang kami bangun mengirim email: faktur, konfirmasi pesanan, laporan rekening. Menurut kami, kemampuan menyalin email perusahaan layak mendapat pengawasan yang sama dengan akses ke sistem akuntansi, karena faktur dan permintaan perubahan data rekening bank sama-sama melewati email sebelum sampai ke sistem.

Kami membaca celah ini untuk pemilik bisnis Saudi dengan dua cara. Pertama, perangkat keamanan itu sendiri telah menjadi sasaran berulang, sehingga perangkat yang Anda beli untuk melindungi email Anda memerlukan seseorang yang mengikuti peringatannya dan memperbaruinya seperti sistem lain. Kedua, jawaban terbaik atas korespondensi yang dicuri tidak hanya bersifat teknis: aturan verifikasi telepon di bagian keuangan menggagalkan penipuan yang dibangun dari email curian, bahkan jika pembobolannya tidak pernah ditemukan.

Poin penting

  • Jika perusahaan Anda menggunakan FortiMail, cari tahu versinya hari ini dan tingkatkan ke 8.0.2, 7.6.7, 7.4.9 atau yang lebih baru, serta pindahkan cabang 7.2 ke 7.4 atau yang lebih baru.
  • Sampai peningkatan versi: nonaktifkan IBE, atau blokir akses internet ke antarmuka webmail.
  • Tinjau akun dan kebijakan arsip, cari dua alamat yang dipublikasikan, dan simpan log sebelum menambal.
  • Sampaikan kepada bagian keuangan hari ini: tidak ada perubahan rekening bank pemasok tanpa verifikasi telepon ke nomor yang dikenal dan pemberi persetujuan kedua.
  • Jika pesan yang disalin memuat data pribadi dan pelanggaran itu dapat merugikan orang yang bersangkutan atau bertentangan dengan hak atau kepentingan mereka, tenggat untuk memberi tahu otoritas yang berwenang adalah 72 jam sejak mengetahui insiden.

Sumber