Zero-Day FortiMail CVE-2026-104286 Skor 9,8 Dieksploitasi

Kalau kantormu memakai FortiMail sebagai gateway email, periksa perangkatnya hari ini. Fortinet menerbitkan advisory FG-IR-26-175 pada 1 Oktober 2026 untuk CVE-2026-104286, celah kritis dengan skor CVSS 9,8 yang menurut Fortinet sudah dieksploitasi di dunia nyata sebelum tambalannya tersedia.

Kenapa ini penting? FortiMail menyaring semua email masuk dan keluar. Perangkat yang dikuasai penyerang bisa dipakai untuk membaca, menyalin, atau mengalihkan email bisnis, dan sering kali tidak ada yang curiga karena perangkat itu tetap terlihat bekerja normal.

Apa itu CVE-2026-104286?

Ini gabungan dua kelemahan: path traversal (CWE-22) dan penanganan karakter NULL yang keliru (CWE-158). Akibatnya, penyerang tanpa autentikasi bisa menulis file sembarang ke sistem FortiMail cukup dengan mengirim permintaan HTTP atau HTTPS yang dirancang khusus ke antarmuka web.

Menulis file di sistem perangkat keamanan sama saja dengan membuka pintu untuk menanam program jahat. Itu sebabnya skornya 9,8 dari 10. Kalau ingin memahami cara membaca angka ini, lihat panduan membaca skor CVSS dan menentukan prioritas patch.

Menurut BleepingComputer, celah ini ditemukan secara internal oleh tim Product Security Fortinet. Fortinet tidak mengungkap sejak kapan eksploitasi berlangsung, berapa perangkat yang terdampak, atau siapa pelakunya.

Versi mana yang terdampak?

Saat advisory terbit, versi perbaikan untuk cabang 7.4, 7.6, dan 8.0 belum dirilis. Per 12 November 2026, cek halaman advisory FG-IR-26-175 di situs PSIRT Fortinet untuk memastikan versi perbaikan mana yang sudah tersedia untuk perangkatmu.

Apa yang harus dilakukan sekarang?

Urutan prioritasnya:

1. Pasang versi perbaikan bila sudah tersedia untuk cabangmu. Pengguna 7.2 perlu merencanakan naik ke cabang 7.4 atau lebih baru.
2. Bila belum bisa menambal, terapkan workaround dari Fortinet. Menurut Help Net Security dan BleepingComputer, salah satunya adalah mematikan fitur IBE (identity-based encryption):

config system encryption ibe
set status disable
end

Beri tahu tim email sebelumnya, karena pengiriman email terenkripsi lewat IBE akan berhenti selama fitur ini mati. 3. Tutup akses antarmuka manajemen dari internet, atau batasi hanya dari jaringan privat yang dipercaya.

CISA memasukkan celah ini ke katalog Known Exploited Vulnerabilities pada 1 Oktober 2026 dengan tenggat untuk instansi federal AS pada 4 Oktober. Tenggat sependek itu menunjukkan tingkat urgensinya. Lebih lanjut soal katalog ini ada di artikel katalog KEV CISA untuk prioritas patch.

Bagaimana tahu perangkatmu sudah disusupi?

Fortinet membagikan indikator penyusupan (IOC) di advisory-nya. Berdasarkan laporan BleepingComputer, beberapa file yang patut dicurigai antara lain:

• /data/etc/ld.so.preload, file yang membuat sebuah library dimuat ke setiap proses. Teknik ini sering dipakai untuk menyembunyikan aktivitas.
• /data/lib/liblog.so, /data/bin/webconsole, dan /data/bin/mailservice yang muncul tanpa alasan jelas.
• Perubahan pada /bin/smit, /data/etc/httpd.conf, dan /data/migadmin.tar.gz.

Di log, tanda yang dilaporkan antara lain akun arsip bernama archive234 yang mengirim data ke alamat luar, cron job yang menjalankan perintah terkait /migadmin, dan error dekripsi IBE akibat Base64 yang tidak valid. Cocokkan hash file dengan daftar resmi di advisory, bukan hanya nama filenya.

Bila FortiMail dikelola vendor atau MSP

Banyak usaha tidak mengurus gateway email sendiri, melainkan menyerahkannya ke vendor IT. Dalam kondisi seperti itu, jangan berasumsi semuanya sudah beres. Tanyakan tiga hal secara tertulis: versi FortiMail yang terpasang saat ini, apakah workaround IBE atau pembatasan akses manajemen sudah diterapkan sejak awal Oktober, dan apakah pemeriksaan IOC sudah dilakukan beserta hasilnya.

Jawaban yang jelas untuk ketiganya jauh lebih berharga daripada sekadar "sudah aman". Simpan jawabannya sebagai catatan, karena akan berguna bila kelak ada audit atau insiden.

Jangan tertukar dengan celah Fortinet lain

Fortinet beberapa kali menambal celah kritis sepanjang beberapa tahun terakhir, dan nomornya mudah tertukar. CVE-2026-104286 khusus untuk FortiMail. CVE-2025-32756 adalah celah lain dari tahun 2025 yang serangannya terlihat pada FortiVoice, sedangkan celah SSL VPN di FortiOS punya ceritanya sendiri, seperti dibahas di artikel FortiOS CVE-2024-21762.

Pelajaran yang sama berlaku untuk semuanya: perangkat keamanan yang menghadap internet adalah sasaran favorit. Simpan daftar perangkat yang terbuka ke internet, batasi antarmuka manajemennya, dan kirim log ke sistem terpisah agar perangkat yang disusupi tidak bisa menghapus jejaknya sendiri.