Proofpoint Threat Research melaporkan bahwa penyerang sudah memakai CVE-2026-112353, celah cross-site scripting (XSS) tersimpan di komponen Webmail GFI Kerio Connect, untuk mencuri kredensial dan isi kotak surat. Pencatatan CVE ini terbit pada 27 Oktober dan diperbarui sehari kemudian. Detail eksploitasinya sejauh ini berasal dari catatan CVE dan ulasan media, bukan dari laporan teknis Proofpoint yang lengkap.
Cara kerja celah dan versi terdampak
Menurut advisori VulnCheck, penyerang mengirim lampiran email berformat SVG yang dibuat khusus. Lampiran itu lolos dari penyaringan atribut penanganan peristiwa, dan sandbox Content-Security-Policy pada endpoint unduhan sementara tidak cukup ketat. Ketika korban membuka lampiran lewat Webmail, skrip penyerang berjalan di dalam sesi Webmail korban yang sedang login. Dari situ, penyerang bisa mengambil kredensial dan isi kotak surat.
Semua versi Kerio Connect sebelum 10.0.8 Patch 2 terdampak. Skor CVSS-nya 8,2 pada CVSS 3.1 dan 6,2 pada CVSS 4.0. Serangan tidak butuh akun di server, tetapi korban harus membuka lampiran, jadi penyerang bergantung pada kelengahan pengguna. Pelapor eksploitasi adalah Stu Del Caliz dan Greg Lesnewich dari Proofpoint.
Perbaikannya sebenarnya sudah lama tersedia. GFI merilis Kerio Connect 10.0.8 Patch 2 pada 28 November 2025, dan catatan rilisnya menyebut skrip tidak lagi dijalankan di konten yang diunduh. Halaman rilis GFI saat ini mencantumkan 10.0.9 Patch 2 (29 Juni 2026) sebagai versi terbaru. Server yang masih tertinggal di versi lama berarti belum memasang tambalan hampir setahun.
Langkah yang perlu diambil administrator
Naikkan Kerio Connect ke 10.0.8 Patch 2 atau yang lebih baru, idealnya ke rilis terbaru di halaman resmi GFI. Setelah itu, periksa log sesi Webmail untuk login yang janggal. Ulasan Daily CyberSecurity juga menyarankan agar pengguna diperingatkan soal lampiran SVG yang tidak diharapkan. Saran terakhir ini bukan bagian dari advisori resmi GFI.
Bila ada kecurigaan kotak surat sudah dibuka pihak lain, ganti sandi akun terkait dan akhiri semua sesi aktif. Catatan CVE di NVD masih berstatus ditunda dan celah ini belum masuk katalog KEV CISA saat laporan sumber ditulis. Statusnya bisa berubah, jadi pantau daftar tersebut.
Dampak bagi pengelola email
Kerio Connect umumnya dipakai kantor kecil dan menengah yang menjalankan server email sendiri, sehingga tidak ada penyedia layanan yang menambal otomatis. Pengelola harus memeriksa versi sendiri hari ini, sebab satu lampiran yang dibuka staf cukup untuk menyerahkan sesi email mereka.
Sumber: VulnCheck, catatan rilis GFI Kerio Connect, dan Daily CyberSecurity. Gambar: Daily CyberSecurity.