--- title: "Zero-Day FortiMail CVE-2026-104286 Skor 9,8 Dieksploitasi" description: "Celah path traversal FortiMail CVE-2026-104286 sudah dieksploitasi. Cek versi terdampak, workaround IBE, dan tanda-tanda perangkatmu disusupi." url: "https://nivelva.com/insight/fortimail-zero-day-cve-2026-104286" category: "Keamanan/Cyber Security" tags: ["fortimail","fortinet","cve-2026-104286","zero-day","email gateway"] author: "Lucas Tan" published: "2026-11-12T16:14:00+07:00" updated: "2026-11-12T16:14:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Zero-Day FortiMail CVE-2026-104286 Skor 9,8 Dieksploitasi > **Jawaban singkat:** CVE-2026-104286 adalah celah path traversal berskor CVSS 9,8 di FortiMail yang membuat penyerang tanpa login bisa menulis file ke sistem lewat permintaan HTTP/HTTPS. Fortinet menyatakan celah ini sudah dieksploitasi. Pasang versi perbaikan atau terapkan workaround, lalu periksa tanda penyusupan. Kalau kantormu memakai FortiMail sebagai gateway email, periksa perangkatnya hari ini. Fortinet menerbitkan advisory FG-IR-26-175 pada 1 Oktober 2026 untuk **CVE-2026-104286**, celah kritis dengan skor CVSS 9,8 yang menurut Fortinet sudah dieksploitasi di dunia nyata sebelum tambalannya tersedia. Kenapa ini penting? FortiMail menyaring semua email masuk dan keluar. Perangkat yang dikuasai penyerang bisa dipakai untuk membaca, menyalin, atau mengalihkan email bisnis, dan sering kali tidak ada yang curiga karena perangkat itu tetap terlihat bekerja normal. ## Apa itu CVE-2026-104286? Ini gabungan dua kelemahan: path traversal (CWE-22) dan penanganan karakter NULL yang keliru (CWE-158). Akibatnya, penyerang **tanpa autentikasi** bisa menulis file sembarang ke sistem FortiMail cukup dengan mengirim permintaan HTTP atau HTTPS yang dirancang khusus ke antarmuka web. Menulis file di sistem perangkat keamanan sama saja dengan membuka pintu untuk menanam program jahat. Itu sebabnya skornya 9,8 dari 10. Kalau ingin memahami cara membaca angka ini, lihat panduan [membaca skor CVSS dan menentukan prioritas patch](https://nivelva.com/insight/cara-membaca-skor-cvss). Menurut BleepingComputer, celah ini ditemukan secara internal oleh tim Product Security Fortinet. Fortinet tidak mengungkap sejak kapan eksploitasi berlangsung, berapa perangkat yang terdampak, atau siapa pelakunya. ## Versi mana yang terdampak? | Cabang | Versi terdampak | Versi perbaikan | |:--|:--|:--| | FortiMail 8.0 | 8.0.0 sampai 8.0.1 | 8.0.2 atau lebih baru | | FortiMail 7.6 | 7.6.0 sampai 7.6.6 | 7.6.7 atau lebih baru | | FortiMail 7.4 | 7.4.0 sampai 7.4.8 | 7.4.9 atau lebih baru | | FortiMail 7.2 | 7.2.0 sampai 7.2.9 | Tidak ada perbaikan khusus, pindah ke 7.4 atau lebih baru | Saat advisory terbit, versi perbaikan untuk cabang 7.4, 7.6, dan 8.0 belum dirilis. Per 12 November 2026, cek halaman advisory FG-IR-26-175 di situs PSIRT Fortinet untuk memastikan versi perbaikan mana yang sudah tersedia untuk perangkatmu. ## Apa yang harus dilakukan sekarang? Urutan prioritasnya: 1. **Pasang versi perbaikan** bila sudah tersedia untuk cabangmu. Pengguna 7.2 perlu merencanakan naik ke cabang 7.4 atau lebih baru. 2. **Bila belum bisa menambal, terapkan workaround dari Fortinet.** Menurut Help Net Security dan BleepingComputer, salah satunya adalah mematikan fitur IBE (identity-based encryption): ``` config system encryption ibe set status disable end ``` Beri tahu tim email sebelumnya, karena pengiriman email terenkripsi lewat IBE akan berhenti selama fitur ini mati. 3. **Tutup akses antarmuka manajemen dari internet**, atau batasi hanya dari jaringan privat yang dipercaya. CISA memasukkan celah ini ke katalog Known Exploited Vulnerabilities pada 1 Oktober 2026 dengan tenggat untuk instansi federal AS pada 4 Oktober. Tenggat sependek itu menunjukkan tingkat urgensinya. Lebih lanjut soal katalog ini ada di artikel [katalog KEV CISA untuk prioritas patch](https://nivelva.com/insight/katalog-kev-cisa-prioritas-patch). ## Bagaimana tahu perangkatmu sudah disusupi? Fortinet membagikan indikator penyusupan (IOC) di advisory-nya. Berdasarkan laporan BleepingComputer, beberapa file yang patut dicurigai antara lain: - `/data/etc/ld.so.preload`, file yang membuat sebuah library dimuat ke setiap proses. Teknik ini sering dipakai untuk menyembunyikan aktivitas. - `/data/lib/liblog.so`, `/data/bin/webconsole`, dan `/data/bin/mailservice` yang muncul tanpa alasan jelas. - Perubahan pada `/bin/smit`, `/data/etc/httpd.conf`, dan `/data/migadmin.tar.gz`. Di log, tanda yang dilaporkan antara lain akun arsip bernama `archive234` yang mengirim data ke alamat luar, cron job yang menjalankan perintah terkait `/migadmin`, dan error dekripsi IBE akibat Base64 yang tidak valid. Cocokkan hash file dengan daftar resmi di advisory, bukan hanya nama filenya. > **Temuan positif berarti perangkat sudah dikuasai:** > > Bila salah satu indikator ditemukan, anggap perangkat sudah disusupi penuh. Isolasi perangkat, simpan bukti forensik, lalu ganti semua kredensial, sertifikat, dan API key yang bisa diakses dari FortiMail tersebut. Menambal saja tidak menghapus pintu belakang yang sudah tertanam. ## Bila FortiMail dikelola vendor atau MSP Banyak usaha tidak mengurus gateway email sendiri, melainkan menyerahkannya ke vendor IT. Dalam kondisi seperti itu, jangan berasumsi semuanya sudah beres. Tanyakan tiga hal secara tertulis: versi FortiMail yang terpasang saat ini, apakah workaround IBE atau pembatasan akses manajemen sudah diterapkan sejak awal Oktober, dan apakah pemeriksaan IOC sudah dilakukan beserta hasilnya. Jawaban yang jelas untuk ketiganya jauh lebih berharga daripada sekadar "sudah aman". Simpan jawabannya sebagai catatan, karena akan berguna bila kelak ada audit atau insiden. ## Jangan tertukar dengan celah Fortinet lain Fortinet beberapa kali menambal celah kritis sepanjang beberapa tahun terakhir, dan nomornya mudah tertukar. CVE-2026-104286 khusus untuk FortiMail. CVE-2025-32756 adalah celah lain dari tahun 2025 yang serangannya terlihat pada FortiVoice, sedangkan celah SSL VPN di FortiOS punya ceritanya sendiri, seperti dibahas di artikel [FortiOS CVE-2024-21762](https://nivelva.com/insight/fortios-cve-2024-21762-celah-ssl-vpn-fortinet). Pelajaran yang sama berlaku untuk semuanya: perangkat keamanan yang menghadap internet adalah sasaran favorit. Simpan daftar perangkat yang terbuka ke internet, batasi antarmuka manajemennya, dan kirim log ke sistem terpisah agar perangkat yang disusupi tidak bisa menghapus jejaknya sendiri. ## Pertanyaan yang sering diajukan ### Apakah FortiMail yang antarmuka manajemennya tidak terbuka ke internet tetap berisiko? Risikonya lebih kecil, tetapi tetap ada bila penyerang sudah berada di jaringan internal. Tambal atau terapkan workaround tetap disarankan. ### Apa efek mematikan IBE? Email terenkripsi yang dikirim lewat fitur IBE tidak bisa diproses selama fitur itu mati. Fungsi penyaringan email biasa tidak disebut terdampak. ### Saya memakai FortiMail 7.2, apa yang harus dilakukan? Fortinet tidak menyediakan perbaikan khusus untuk cabang 7.2 dan menyarankan pindah ke cabang 7.4 atau lebih baru. Sambil menunggu, terapkan workaround dan batasi akses antarmuka manajemen. ## Sumber - - - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/fortimail-zero-day-cve-2026-104286 Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com