KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang menggunakan perangkat dan solusi keamanan Fortinet untuk segera menindaklanjuti kerentanan kritis pada FortiClient Enterprise Management Server (FortiClientEMS) yang teridentifikasi sebagai CVE-2026-35616. Kerentanan ini memperoleh skor CVSS 9.8 (Critical) dan telah dikonfirmasi sedang dieksploitasi secara aktif di internet.
FortiClientEMS merupakan server pengelolaan terpusat untuk agen FortiClient pada perangkat endpoint. Penguasaan server ini oleh pihak tidak sah berpotensi membahayakan seluruh perangkat yang dikelolanya.
Ikhtisar
CVE-2026-35616 merupakan kerentanan improper access control (CWE-284) yang memengaruhi FortiClientEMS versi 7.4.5 hingga 7.4.6. Kerentanan ini memiliki vektor CVSS CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Celah ini memungkinkan penyerang dari jarak jauh yang tidak terotentikasi untuk mengeksekusi kode atau perintah tidak sah melalui permintaan yang disusun secara khusus. Karena eksploitasi tidak memerlukan kredensial maupun interaksi pengguna, kerentanan ini tergolong sangat berisiko.
Dampak
FortiClientEMS mengelola kebijakan keamanan, pendaftaran, dan pemantauan agen FortiClient pada perangkat endpoint organisasi. Eksploitasi yang berhasil dapat mengakibatkan:
- Pengambilalihan penuh server FortiClientEMS oleh penyerang.
- Akses tidak sah terhadap data konfigurasi dan inventaris perangkat endpoint yang dikelola.
- Penyalahgunaan kanal pengelolaan untuk mendistribusikan kebijakan atau perangkat lunak berbahaya ke endpoint terdaftar.
- Pemanfaatan server yang telah dikuasai sebagai titik pijak untuk menyerang sistem lain di dalam jaringan internal.
Sistem yang Terdampak
| Produk | Versi Terdampak | Versi/Tindakan Perbaikan |
|---|---|---|
| FortiClientEMS | 7.4.6 | Terapkan hotfix resmi Fortinet, atau perbarui ke 7.4.7 saat tersedia |
| FortiClientEMS | 7.4.5 | Perbarui ke versi 7.4.7 saat tersedia |
Fortinet menyatakan perbaikan permanen akan disertakan pada FortiClientEMS versi 7.4.7. Hingga rilis tersebut tersedia, hotfix yang disediakan untuk versi 7.4.6 wajib diterapkan agar sistem terlindungi.
Eksploitasi di Lapangan
Fortinet menerbitkan advisori resmi FG-IR-26-099 pada 4 April 2026 dan menyatakan bahwa kerentanan ini telah dieksploitasi di lapangan. CISA memasukkan CVE-2026-35616 ke dalam katalog Known Exploited Vulnerabilities pada 6 April 2026. Berdasarkan laporan publik, upaya eksploitasi terhadap kerentanan ini pertama kali tercatat pada 31 Maret 2026, sebelum advisori resmi terbit.
Detail Teknis
Akar masalah berada pada pengendalian akses yang tidak memadai (improper access control) pada antarmuka pemrograman aplikasi (API) FortiClientEMS. Sejumlah jalur API yang seharusnya memerlukan otentikasi dapat diakses tanpa kredensial yang sah.
Dengan mengirimkan permintaan yang disusun secara khusus ke jalur API yang terdampak, penyerang dapat melewati pemeriksaan otorisasi (pre-authentication bypass) dan memicu eksekusi kode atau perintah tidak sah pada server. Karena server FortiClientEMS umumnya dapat dijangkau melalui jaringan untuk keperluan pendaftaran endpoint, paparan terhadap internet memperbesar risiko eksploitasi.
Rekomendasi
- Segera terapkan perbaikan. Pasang hotfix resmi Fortinet untuk FortiClientEMS 7.4.6, atau lakukan pembaruan ke versi 7.4.7 segera setelah dirilis.
- Batasi paparan jaringan. Pastikan antarmuka pengelolaan dan API FortiClientEMS tidak terekspos langsung ke internet. Terapkan pembatasan alamat IP dan letakkan server di belakang segmen jaringan yang terlindungi.
- Periksa indikasi kompromi. Telusuri log akses FortiClientEMS untuk permintaan API yang tidak wajar, terutama yang berasal dari sumber tidak dikenal sebelum tanggal penerapan perbaikan.
- Tinjau perangkat terkelola. Verifikasi integritas kebijakan dan agen pada endpoint yang dikelola untuk memastikan tidak ada perubahan tidak sah.
- Aktifkan pemantauan. Konfigurasikan pencatatan dan pemantauan untuk mendeteksi pola pemindaian maupun upaya eksploitasi.
- Terapkan prinsip hak akses minimal. Pastikan akun layanan dan integrasi FortiClientEMS berjalan dengan privilese seminimal mungkin.
Perangkat Daerah yang mengindikasikan adanya kompromi pada server FortiClientEMS dapat segera menghubungi KUTIM-CSIRT melalui kanal pelaporan resmi untuk pendampingan penanganan.
Referensi
- NVD — CVE-2026-35616
- Fortinet PSIRT — Advisory FG-IR-26-099
- CISA — Known Exploited Vulnerabilities Catalog