Peneliti Group-IB dan NyxLab melaporkan kampanye peretasan terhadap perangkat firewall dan VPN yang dijalankan aktor bernama k0t. Pelaku menyasar Fortinet FortiGate, FortiWeb, dan Palo Alto Networks GlobalProtect, lalu mengumpulkan lebih dari 70.000 kredensial milik perangkat jaringan beserta dump LDAP. Laporan itu terbit pada 21 Oktober 2026.
Celah yang dipakai dan cara kerja pelaku
Menurut Group-IB, k0t mencari perangkat yang terbuka ke internet lewat mesin pencari FOFA, ZoomEye, dan Censys. Setelah itu pelaku memakai dua celah, yaitu CVE-2025-64446 (path traversal di FortiWeb yang dipakai untuk membuat akun admin tanpa autentikasi) dan CVE-2026-0257 (bypass autentikasi di GlobalProtect pada PAN-OS lewat cookie palsu). Bila eksploitasi gagal, pelaku menebak kata sandi umum. Untuk FortiGate, laporan menyebut CVE-2019-6693, kunci AES bawaan yang dipakai untuk membuka konfigurasi hasil ekspor.
Setelah masuk lewat koneksi OpenConnect VPN, pelaku memetakan Active Directory, mencuri kredensial tambahan, dan menaikkan hak akses ke Domain Admin dengan teknik noPac (CVE-2021-42278 dan CVE-2021-42287). Untuk bertahan di jaringan korban, pelaku memasang MeshCentral, AdaptixC2, serta alat akses jarak jauh seperti Atera dan AnyDesk. Data kemudian dikirim keluar memakai Rclone ke penyimpanan Wasabi S3 dan MEGA.
Sebagian besar pembobolan FortiGate terjadi antara Februari dan Juni 2026. Kawasan Asia Pasifik memiliki porsi domain korban terbesar, sekitar 37,6 persen. Group-IB menilai angka itu mencerminkan banyaknya perangkat yang terpapar, bukan sasaran regional yang disengaja. Hubungan k0t dengan kelompok ransomware Qilin dan The Gentlemen belum terkonfirmasi, tetapi pelaku diduga bertindak sebagai perantara akses awal. Daftar kredensial ini juga tidak terkait dengan kampanye FortiBleed, menurut laporan tersebut.
Langkah yang perlu diambil admin
Laporan sumber tidak menyebut nomor versi perbaikan, jadi admin perlu membuka pengumuman resmi Fortinet dan Palo Alto Networks untuk perangkat masing-masing. Group-IB menyarankan beberapa langkah: cabut antarmuka manajemen dari akses langsung internet, tambal perangkat tepi sesegera mungkin, dan aktifkan pengaturan enkripsi data privat FortiGate dengan kunci buatan operator. Konfigurasi yang pernah terekspos harus diperlakukan sebagai kebocoran kredensial, sehingga akun bind LDAP dan AD perlu diganti, dan akun layanan di perangkat tepi sebaiknya berhak akses rendah.
Admin juga disarankan mewajibkan MFA, memperketat kebijakan penguncian akun, dan memantau akun admin tak dikenal, ekspor konfigurasi, alat remote seperti Atera atau AnyDesk, serta aktivitas Rclone. Bagi organisasi di Indonesia yang memakai produk ini, terutama di wilayah Asia Pasifik yang paling banyak terdampak, pemeriksaan log sejak awal 2026 layak dilakukan. Palo Alto Networks juga baru mengonfirmasi celah PHP2Shell di PAN-OS, jadi tim keamanan sebaiknya memeriksa kedua pengumuman sekaligus.
Sumber: Group-IB dan NyxLab serta The Hacker News. Gambar: Group-IB.