Fortinet merilis pembaruan yang disebutnya “security hardening release” untuk FortiOS, FortiManager, FortiAnalyzer, FortiMail, dan FortiAuthenticator. Menurut Help Net Security, perusahaan itu menilai sebagian celah yang ditambal berstatus kritis dan tinggi, dan beberapa di antaranya mungkin bisa dimanfaatkan tanpa autentikasi. Nomor CVE, skor CVSS, dan advisory resmi sengaja ditahan sampai 10 November 2026.
Apa yang diumumkan Fortinet
Build FortiOS, FortiManager, dan FortiAnalyzer tersedia sejak 22 Oktober, sedangkan FortiMail dan FortiAuthenticator sudah bisa diunduh dari tanggal pengumuman, 21 Oktober. Fortinet menyebut celah-celah ini ditemukan lewat pengujian dengan bantuan model AI, lalu divalidasi manusia. Dalam keterangan yang dikutip Help Net Security, pengujian itu mencakup lebih dari 100 sesi di 30 lini produk, dengan sekitar 40 persen temuan berupa kerentanan sungguhan.
Fortinet tidak menyatakan ada eksploitasi aktif, dan sumber yang kami baca tidak menyebut hal itu. Namun perusahaan memperingatkan bahwa jeda antara pengungkapan dan eksploitasi terus menyempit. Fortinet juga menegaskan bahwa pembaruan ini tidak menutup PHP2Shell (CVE-2026-109618 dan CVE-2026-109619); produk-produk tersebut tidak terdampak oleh celah itu.
Versi yang sudah diperbaiki
FortiOS diperbaiki di 8.0.2, 7.6.8, 7.4.13, dan 7.2.14. FortiManager dan FortiAnalyzer diperbaiki di 8.0.2, 7.6.8, 7.4.12, dan 7.2.13. FortiMail diperbaiki di 8.0.2, 7.6.7, dan 7.4.9, sedangkan pengguna FortiMail 7.2 diminta pindah ke cabang 7.4 atau lebih baru. FortiAuthenticator diperbaiki di 8.0.4 dan 6.6.11. Semua versi di bawah angka tersebut pada tiap cabang tergolong terdampak. Fortinet juga memperbarui FortiSASE secara otomatis, sementara FortiManager Cloud mungkin perlu diperbarui manual.
Perangkat Fortinet memang sedang jadi sasaran. Kami sebelumnya melaporkan pelaku bernama k0t yang menyerang FortiGate dan FortiWeb dengan celah lain.
Langkah yang perlu diambil admin
Fortinet meminta pelanggan merencanakan dan segera menuntaskan peningkatan versi, dimulai dari perangkat yang terhubung ke internet. Cadangkan konfigurasi sebelum memperbarui, dan inventarisasi semua FortiGate, FortiManager, dan FortiAnalyzer, termasuk instans virtual dan cloud.
Bila belum bisa memperbarui, Fortinet menyarankan mitigasi sementara: batasi akses admin HTTPS dan SSH ke alamat IP tepercaya atau matikan di antarmuka luar, jangan membuka FortiManager ke internet, pakai kredensial kuat yang unik, dan wajibkan MFA untuk semua akun admin. Pantau juga log untuk login admin yang janggal, akun admin tak dikenal, atau perubahan konfigurasi tanpa izin. Mitigasi ini tidak menggantikan pembaruan.
Bagi tim jaringan di Indonesia yang menjalankan firewall atau FortiManager di kantor dan data center, jadwal paling aman adalah memperbarui sebelum 10 November. Setelah advisory terbit, penyerang bisa membandingkan patch dengan versi lama dan mencari celahnya.
Sumber: Fortinet CISO Collective dan Help Net Security. Gambar: Help Net Security.