FortiBleed dan Bypass SSO FortiCloud: Langkah Wajib bagi Pengguna Fortinet

FortiBleed adalah kebocoran data berisi konfigurasi dan kredensial dari hampir 74.000 firewall serta gateway VPN Fortinet, yang dilaporkan pada Juni 2026, dan pengguna Fortinet wajib mengambil langkah nyata. Selain itu, celah bypass SSO FortiCloud (CVE-2026-24858) sudah dieksploitasi sejak Januari 2026. Patch firmware saja tidak mencabut kredensial yang sudah bocor.

Ringkasan FortiBleed dan bypass SSO FortiCloud

• FortiBleed: bukan CVE, melainkan insiden kebocoran data. Hudson Rock menghitung 73.932 URL firewall unik di 194 negara. Dilaporkan 18 Juni 2026 dan diperbarui 29 Juni.
• CVE-2026-24858: bypass autentikasi lewat jalur alternatif (CWE-288) pada FortiOS, FortiManager, FortiAnalyzer, FortiProxy, FortiWeb, dan beberapa produk lain seperti FortiNAC-F bila login FortiCloud SSO aktif. Skor CVSS 3.1 9.8 dari Fortinet. Masuk KEV 27 Januari 2026.
• Perbaikan CVE-2026-24858: FortiOS 7.6.6, 7.4.11, 7.2.13, dan 7.0.19; versi perbaikan produk lain tercantum di advisori Fortinet FG-IR-26-060.
• Tidak terdampak: FortiManager Cloud, FortiAnalyzer Cloud, FortiGate Cloud, dan pengaturan dengan IdP SAML kustom.

Apa itu FortiBleed dan dampaknya

Peneliti Volodymyr Diachenko menemukan server terbuka yang menyimpan file konfigurasi dan kredensial perangkat Fortinet. Kevin Beaumont, yang berkoordinasi dengan beberapa organisasi dalam daftar itu, mengonfirmasi bahwa login dan kata sandinya asli. Menurut peneliti, pelaku mencegat hash kata sandi SSL VPN, memecahkannya di klaster GPU, lalu menggunakan hasilnya untuk bergerak masuk ke Active Directory internal. Help Net Security menyebut pelakunya kelompok kriminal berbahasa Rusia, dan analisis SpyCloud menyebutnya terduga initial access broker; ini masih berupa dugaan, bukan atribusi terkonfirmasi.

Menurut Diachenko, seperti dilaporkan Help Net Security, sedikitnya empat organisasi di Jepang, Taiwan atau Vietnam, Irak, dan Turki dikompromikan penuh. Daftar dalam data itu mencakup perusahaan besar serta lembaga pemerintah, tetapi tercantum di daftar tidak sama dengan terbukti dibobol. Fortinet meyakini data FortiBleed memuat hasil insiden sebelumnya dan upaya brute force, bukan satu celah baru. Pelajaran intinya: penambalan tidak membatalkan kebocoran kredensial, dan antarmuka manajemen yang terekspos serta hash kata sandi lama membuat data "lama" menjadi akses nyata.

Bypass SSO FortiCloud (CVE-2026-24858)

Celah ini memungkinkan pengguna yang punya akun FortiCloud dan perangkat terdaftar untuk masuk ke perangkat milik akun lain yang mengaktifkan FortiCloud SSO. Pelanggan melaporkan akun admin lokal tak dikenal muncul sejak 20 Januari 2026, padahal perangkat sudah ditambal untuk celah SSO sebelumnya (CVE-2025-59718). Fortinet mengunci dua akun FortiCloud berbahaya pada 22 Januari, menonaktifkan SSO FortiCloud dari sisi layanan pada 26 Januari, lalu mengaktifkannya kembali 27 Januari dengan perubahan yang menolak login dari versi rentan.

CISA mencatat aktivitas jahat berupa perubahan konfigurasi firewall tanpa izin, pembuatan akun, dan perubahan konfigurasi VPN yang memberi akses ke akun baru. Shadowserver menghitung kurang dari 10.000 instance terekspos dengan SSO aktif. Fortinet juga menyebut mematikan SSO di sisi klien tidak dianjurkan sebagai pengganti upgrade.

Relevansi untuk Indonesia

Praktisi forensik digital Alfons Tanujaya dari PT Vaksincom, seperti dikutip media lokal pada 24 Juni 2026, menyatakan sedikitnya 50 entitas di Indonesia rentan, termasuk lembaga pemerintah, perbankan, dan platform e-commerce. Angka ini masih pernyataan satu praktisi dan bukan hasil verifikasi resmi, tetapi cukup untuk memicu pemeriksaan internal. Karena firewall Fortinet banyak dipakai organisasi Indonesia, tim keamanan perlu memeriksa perangkat mereka, bukan menunggu konfirmasi.

Langkah wajib bagi pengguna Fortinet

1. Cek paparan. Gunakan alat pencarian Hudson Rock untuk memeriksa domain dan alamat IP Anda. Jika terdaftar, anggap telah dikompromikan.
2. Reset kredensial. Ganti kata sandi admin dan VPN, termasuk akun pegawai, lalu akhiri semua sesi VPN aktif.
3. Aktifkan MFA pada semua akun admin dan VPN. Pelajari dasar-dasarnya di Autentikasi Dua Faktor (2FA).
4. Tutup antarmuka manajemen dari internet; batasi akses admin dengan kebijakan local-in dan alamat IP tepercaya.
5. Perbarui firmware ke rilis FortiOS terbaru. Fortinet beralih ke hashing kata sandi PBKDF2 sejak awal 2025, tetapi banyak perangkat diduga masih menyimpan hash SHA-256 lama; minta admin login agar kata sandi di-hash ulang.
6. Audit kompromi. Cari akun admin yang tidak dikenal, perubahan kebijakan firewall dan VPN, serta koneksi aneh ke Active Directory. Jika ditemukan, pulihkan konfigurasi bersih yang diketahui baik.

Dasar-dasar firewall tersedia di Apa Itu Firewall, dan alasan perangkat tepi menjadi sasaran terus-menerus dibahas di Keamanan Perangkat Edge.

Celah Fortinet lain yang perlu diperhatikan

Pada FortiWeb, CVE-2025-64446 (path traversal pada antarmuka web) masuk KEV pada 14 November 2025 dan diperbaiki di 8.0.2, 7.6.5, 7.4.10, 7.2.12, dan 7.0.12. Pada FortiMail, CVE-2026-104286 (path traversal, CVSS 3.1 9.8 dari Fortinet) masuk KEV 1 Oktober 2026. Advisori Fortinet FG-IR-26-175, yang terakhir diperbarui 7 Oktober 2026, mencantumkan solusi 8.0.2, 7.6.7, dan 7.4.9, sedangkan cabang 7.2 masih menunggu 7.2.10 dan cabang 7.0 harus migrasi ke rilis yang diperbaiki. Selama belum bisa upgrade, Fortinet menyarankan menonaktifkan IBE atau membatasi akses antarmuka webmail dari internet.

Linimasa singkat

• 14 November 2025: CVE-2025-64446 pada FortiWeb masuk KEV.
• 20 Januari 2026: pelanggan melaporkan akun admin lokal tak dikenal pada perangkat Fortinet yang sudah diperbarui.
• 26-27 Januari 2026: Fortinet menonaktifkan lalu mengaktifkan kembali FortiCloud SSO dengan pembatasan; CVE-2026-24858 masuk KEV.
• 18 Juni 2026: laporan FortiBleed; pembaruan SpyCloud pada 29 Juni.
• 1 Oktober 2026: CVE-2026-104286 pada FortiMail masuk KEV.

Urutan ini menunjukkan bahwa perangkat Fortinet menghadapi tekanan dari dua arah sekaligus: celah di perangkat lunak dan kredensial yang bocor dari insiden sebelumnya. Memeriksa keduanya perlu menjadi rutinitas, bukan reaksi sekali jalan.

Baca juga: MongoBleed (CVE-2025-14847): Kebocoran Memori di MongoDB, Pensiunnya ingress-nginx dan Katalog Bitnami: Dampak bagi Pengguna Kubernetes.

Pertanyaan yang Sering Diajukan

Apakah FortiBleed sebuah celah (CVE)?

Bukan. FortiBleed adalah kebocoran data kredensial dan konfigurasi. Karena itu patch firmware saja tidak menyelesaikannya; kredensial harus diganti.

Bagaimana jika SSO FortiCloud tidak saya pakai?

CVE-2026-24858 hanya dapat dieksploitasi pada perangkat dengan login FortiCloud SSO aktif. Menurut Fortinet, fitur ini memang mati secara bawaan, tetapi menjadi aktif saat perangkat didaftarkan ke FortiCloud lewat GUI kecuali opsinya dimatikan, jadi periksa pengaturan Anda. Tetap perbarui firmware dan batasi akses admin.

Apakah MFA cukup melindungi?

MFA sangat membantu mengurangi risiko kredensial bocor, tetapi tidak menggantikan penutupan antarmuka manajemen, penggantian kata sandi, dan pembaruan firmware.

Kesimpulan

FortiBleed dan bypass SSO FortiCloud menunjukkan dua sisi risiko perangkat edge: celah perangkat lunak dan kebocoran kredensial. Anda perlu menambal, mengganti kredensial, menutup antarmuka manajemen, dan memeriksa kompromi. Untuk meninjau postur keamanan perimeter organisasi Anda secara terotorisasi, hubungi tim Linuxhackingid melalui halaman kontak. Rujukan: Help Net Security tentang FortiBleed dan peringatan CISA tentang CVE-2026-24858.