Penulisan File Tanpa Autentikasi Lewat Pintu Belakang Gerbang Surat — Zero-Day FortiMail CVE-2026-104286 dan Fungsi IBE
Fortinet pada 1 Oktober mempublikasikan zero-day path traversal di FortiMail (CVE-2026-104286, CVSS 9.8) yang memungkinkan penulisan file sembarang tanpa autentikasi, dan mengonfirmasi eksploitasi in the wild. CISA menambahkannya ke katalog KEV pada hari yang sama dengan tenggat federal 4 Oktober. Tak satu pun dari empat cabang versi yang terdampak memiliki rilis perbaikan yang terbit, sehingga nonaktifkan IBE menjadi langkah sementara — kami meninjaunya bersama lonjakan KEV akhir September.
Artikel ini diterjemahkan oleh mesin.
Pada 1 Oktober 2026, Fortinet mempublikasikan CVE-2026-104286 di FortiMail melalui advisori PSIRT FG-IR-26-175. Kelemahan ini menggabungkan pembatasan nama jalur yang tidak memadai terhadap direktori tertentu (path traversal, CWE-22) dan penetrasi byte NULL yang tidak memadai (CWE-158): penyerang tanpa autentikasi dapat menulis file sembarang ke sistem bawah melalui permintaan HTTP/HTTPS yang disengaja. Skor CVSS v3.1 dari NVD adalah 9.8 (CRITICAL, dilaporkan oleh Fortinet PSIRT sebagai CNA). Empat cabang rilis terdampak: FortiMail 8.0.0–8.0.1 (upgrade ke 8.0.2 atau lebih tinggi yang akan terbit), 7.6.0–7.6.6 (7.6.7 atau lebih tinggi yang akan terbit), 7.4.0–7.4.8 (7.4.9 atau lebih tinggi yang akan terbit), dan 7.2.0–7.2.9 (upgrade ke cabang 7.4 atau lebih tinggi). Per 2 Oktober, perbaikan untuk tiga cabang terbaru masih bertanda 'akan terbit' dan cabang 7.2 tidak memiliki rencana rilis perbaikan sama sekali. Fortinet menyatakan bug ini 'dilaporkan dieksploitasi in the wild' dan mendesak pelanggan menerapkan langkah alternatif: nonaktifkan fungsi IBE (Internet Based Encryption) melalui GUI (Encryption -> IBE -> IBE Service 'off') atau CLI (config system encryption ibe / set status disable); atau nonaktifkan akses internet ke antarmuka webmail FortiMail atau batasi ke jaringan privat tepercaya, atau, bila ada WAF di depannya, blokir permintaan POST ke /ibe yang memuat '../'. Fortinet juga menerbitkan dua IP sumber serta contoh log sistem dan log enkripsi sebagai IoC, dan menyebut temuan berasal dari Gwendal Guégniaud di tim Product Security Fortinet (FG-IR-26-175).
CISA menambah kerentanan ini ke katalog KEV pada 1 Oktober dan memberi tenggat 4 Oktober — hari ini — bagi lembaga federal sipil (BOD 26-04, tiga hari sejak ditambahkan). Catatan KEV meminta penerapan mitigasi sesuai instruksi vendor selaras dengan BOD 26-04 dan Kebutuhan Triase Forensik CISA; forensicTriage ditandai Ya. IoC Fortinet memuat entri log enkripsi dari kegagalan dekripsi IBE, yang mengisyaratkan jalur eksploitasi melewati antarmuka IBE; Fortinet belum secara formal menjelaskan vektor serangan, sehingga itu adalah inferensi, bukan fakta (inferensi dipisahkan dari fakta di bawah). Penambahan KEV terbaru menunjukkan 17 entri antara 20 September dan 2 Oktober: Zyxel GS1900 (CVE-2026-7273), Arista VeloCloud Orchestrator (CVE-2026-93952), F5 BIG-IP APM (CVE-2026-94127), dua kelemahan server manajemen Check Point (CVE-2026-93616 / CVE-2026-85102), WSO2 (CVE-2026-5430), Adobe Commerce dan Magento (CVE-2026-71362), MikroTik RouterOS (CVE-2026-67279), Microsoft SharePoint (CVE-2026-65660), WordPress Core (CVE-2026-87902), dua kelemahan Citrix NetScaler (CVE-2026-88772 / CVE-2026-88771), Cisco Catalyst SD-WAN Manager (CVE-2026-76504), Apple (CVE-2026-86950), kelemahan FortiMail ini (CVE-2026-104286), dan dua kelemahan Zammad (CVE-2026-102490 / CVE-2026-102489) — banyak di antaranya antarmuka manajemen atau fungsi pada perangkat batas (katalog KEV CISA, 2026.10.02).
Analisis (dipisahkan dari fakta): yang layak diperhatikan adalah akses tanpa autentikasi ke antarmuka yang tidak menuntut autentikasi langsung mendarat di penulisan file level root. Zero-day Cisco SEG yang observatorium ini bahas pada 15 September (CVE-2026-76461) hampir bentuknya sama: pemrosesan permintaan tanpa autentikasi di gerbang surat yang mencapai eksekusi root lewat SQL injection, juga dengan eksploitasi in the wild terkonfirmasi lalu masuk KEV. Dua zero-day pada perangkat yang berbagi peran gerbang surat masuk KEV dalam tiga minggu, dan target pada kedua kasus adalah antarmuka fungsi pada gerbang, bukan jalur surat itu sendiri. IBE adalah fungsi enkripsi surat yang mungkin banyak deployments hanya mengaktifkannya untuk pengirim terbatas; tempatnya aktif, antarmukanya bisa tetap terjangkau dari internet sebagai efek samping. Satu fungsi menyisakan pintu masuk tanpa autentikasi — itulah poin strukturnya. Catatan Fortinet bahwa cacat ini ditemukan secara internal mengikuti pola yang sama dengan kelemahan F5 BIG-IP APM (CVE-2026-94127) dan dapat menyiratkan jendela eksploitasi sunyi sebelum pengumuman. Tidak adanya rilis perbaikan sama sekali untuk cabang 7.2 berarti situs-situs tersebut tidak bisa sekadar 'memperbaiki' sebelum tenggat 4 Oktober: keputusannya adalah pindah cabang atau menutup fungsi.
Implikasi defensif: (1) Jika IBE tidak digunakan, nonaktifkannya melalui GUI atau CLI adalah prioritas pertama; tepat 'mitigasi sesuai instruksi vendor' yang ditunjuk catatan KEV CISA. (2) Jika IBE digunakan, blokir POST ke /ibe yang memuat '../' di WAF, atau batasi akses webmail ke jaringan privat tepercaya; keduanya sementara dan harus dipasangkan dengan rilis final. (3) Jalankan deteksi terhadap IoC Fortinet (pelaksanaan /bin/sh -c yang diluncurkan cron dan penambahan akun archive di log sistem, pengecualian dekripsi IBE di log enkripsi) sambil meninjau ulang riwayat firewall / NetFlow untuk lalu lintas ke /ibe, dengan premis log perangkat sendiri mungkin bukan lagi sumber utama. (4) Untuk situs cabang 7.2, mulai rencana migrasi ke 7.4 atau lebih tinggi sekarang; tanpa rilis perbaikan, respons tenggat adalah migrasi atau isolasi. (5) Dalam inventaris perangkat batas, periksa ulang paparan publik antarmuka fungsi tunggal seperti IBE. Dua entri Citrix NetScaler (ditambahkan 27 September) dan entri Cisco Catalyst SD-WAN Manager (ditambahkan 30 September) adalah bagian dari rangkaian penambahan KEV yang sama, dengan jendela tiga hari yang sama. Fakta berdasar advisori Fortinet FG-IR-26-175 (https://fortiguard.fortinet.com/psirt/FG-IR-26-175), katalog KEV CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), dan rekaman CVE NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-104286). Analisis tetap terpisah dari fakta.