- Kerentanan kritis CVE-2026-21643 pada FortiClientEMS 7.4.4 memungkinkan injeksi SQL dan kemungkinan eksekusi kode jarak jauh tanpa otentikasi.
- Kerentanan ini terkait dengan penanganan header HTTP Site yang tidak aman di middleware, yang dapat dieksploitasi melalui endpoint publik /api/v1/init_consts.
- Eksploitasi tersebut dapat mengakibatkan kompromi total terhadap basis data manajemen, pencurian kredensial, dan modifikasi kebijakan yang didistribusikan ke semua titik akhir.
- Langkah mitigasi meliputi peningkatan ke FortiClientEMS 7.4.5 atau lebih tinggi, menonaktifkan mode multi-tenant jika tidak dapat segera diperbaiki, dan membatasi akses ke konsol administrasi.
Keamanan platform manajemen endpoint telah menjadi isu kritis bagi banyak perusahaan, dan contoh terbaru yang jelas adalah Fortinet dan solusi FortiClient Endpoint Management Server (EMS) mereka. Dalam beberapa bulan terakhir, kerentanan injeksi SQL kritis telah ditemukan yang memengaruhi versi produk yang sangat spesifik, yang menimbulkan kehebohan besar di komunitas keamanan siber.
Dalam artikel ini, kita akan membahas secara tenang apa yang terjadi dengan kerentanan injeksi SQL kritis di Fortinet , bagaimana kerentanan CVE-2026-21643 bekerja, apa dampak nyatanya bagi organisasi, bagaimana kerentanan ini dieksploitasi dalam praktiknya, dan, yang terpenting, langkah-langkah mendesak dan jangka menengah apa yang harus Anda terapkan jika Anda mengelola infrastruktur yang berbasis pada FortiClientEMS atau produk serupa.
Konteks kerentanan CVE-2026-21643 pada FortiClientEMS
Kerentanan CVE-2026-21643 telah diklasifikasikan sebagai kritis , dengan skor CVSS berkisar antara 9.1 hingga 9.8 menurut berbagai sumber, yang menempatkannya pada tingkat keparahan tertinggi. Cacat tersebut terdapat pada FortiClient Endpoint Management Server (EMS), platform yang digunakan perusahaan untuk menyebarkan dan mengelola agen FortiClient pada sejumlah perangkat pengguna mereka.
Secara spesifik, masalah ini memengaruhi FortiClientEMS versi 7.4.4 dari cabang 7.4 ketika mode multi-tenant (fungsi "Situs") diaktifkan. Versi 8.0 dan 7.2, serta instance FortiEMS Cloud, tidak terpengaruh oleh bug ini, sehingga Fortinet memfokuskan semua rekomendasi mitigasi pada lingkungan yang masih menggunakan versi 7.4.4 on-premises.
Serangan injeksi SQL ini terjadi karena netralisasi yang tidak tepat terhadap elemen khusus dalam pernyataan SQL , yang diklasifikasikan dalam CWE-89. Dalam praktiknya, hal ini memungkinkan penyerang jarak jauh yang tidak terautentikasi untuk mengirimkan permintaan HTTP yang dibuat khusus dan menyebabkan server mengeksekusi perintah SQL sembarangan, yang dapat mengakibatkan eksekusi kode jarak jauh (RCE) dengan hak akses pengguna basis data.
Pemberitahuan keamanan Fortinet menunjukkan bahwa kerentanan terletak pada komponen GUI FortiClientEMS , khususnya antarmuka web yang digunakan administrator untuk mengelola dan memantau titik akhir. Ini berarti bahwa setiap instance dengan antarmuka yang dapat diakses melalui internet menjadi target utama bagi penyerang.
Bagaimana serangan SQL injection kritis bermula di Fortinet
Akar permasalahan ini terkait dengan perbaikan besar pada middleware di FortiClientEMS 7.4.4 . Selama revisi kode ini, para pengembang mengubah cara aplikasi menangani koneksi ke basis data PostgreSQL dan perutean penyewa, tanpa sengaja memperkenalkan bug pada file koneksi.
Dalam logika baru ini, server langsung meneruskan Header HTTP Site untuk konsultasi search_path oleh PostgreSQLTujuannya adalah untuk memilih skema yang sesuai dengan setiap penyewa berdasarkan header ini, tetapi masalah besarnya adalah middleware tidak melakukan validasi atau sanitasi yang tepat terhadap nilai tersebut.
Akibatnya, penyerang dapat merusak format string yang dimaksud dan menyisipkan muatan berbahaya mereka sendiri ke dalam pernyataan SQL, menyuntikkan perintah sembarangan yang akan dieksekusi oleh basis data dengan hak akses tinggi yang telah dikonfigurasi oleh pengguna layanan di dalam mesin virtual Fortinet.
Risiko ini semakin meningkat karena middleware yang rentan ini dieksekusi sebelum pemeriksaan otentikasi apa pun . Dengan kata lain, tidak perlu masuk atau memiliki kredensial: cukup dengan mengirimkan permintaan HTTPS yang dimanipulasi dengan header Site yang dimodifikasi sudah cukup untuk mencoba mengeksploitasi kerentanan tersebut.
Pola ini sangat sesuai dengan skenario CVSS 3.1 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H , di mana serangan datang melalui jaringan, memiliki kompleksitas rendah, tidak memerlukan hak akses atau interaksi pengguna sebelumnya, dan sepenuhnya membahayakan kerahasiaan, integritas, dan ketersediaan sistem yang terpengaruh.
Vektor serangan: endpoint /api/v1/init_consts dan header Situs
Para peneliti keamanan, seperti tim Bishop Fox, telah menjelaskan bahwa vektor serangan yang paling praktis ditemukan di titik akhir (endpoint). dapat diakses publik /api/v1/init_consts, sebuah rute API FortiClientEMS yang digunakan selama inisialisasi antarmuka.
Penyerang dapat menggunakan titik akhir ini terlebih dahulu untuk Periksa apakah mode multi-tenant diaktifkan.Jika mereka menemukan bahwa fungsi Situs diaktifkan, mereka kemudian menyuntikkan muatan SQL melalui header HTTP. Site, memanfaatkan fakta bahwa nilai tersebut diteruskan tanpa pembersihan ke dalam kalimat. search_path.
Endpoint ini memiliki beberapa kelemahan desain: pertama, ia tidak memiliki mekanisme pembatasan laju dan pertahanan khusus terhadap serangan brute-force; kedua, ia langsung mengembalikan pesan kesalahan yang dihasilkan oleh PostgreSQL dalam isi respons. Hal ini membuat pekerjaan penyerang jauh lebih mudah.
Dengan menerima kesalahan-kesalahan ini secara eksplisit, pelaku kejahatan dapat melakukan teknik ekstraksi berbasis kesalahan dalam satu permintaan , tanpa perlu menggunakan injeksi berbasis waktu yang jauh lebih lambat. Hal ini memungkinkan enumerasi tabel, kolom, dan data sensitif menjadi sangat cepat.
Jika eksploitasi berhasil, penyerang mencapai skenario kompromi total terhadap basis data manajemen endpoint . Karena pengguna basis data berjalan dengan hak akses superuser PostgreSQL, mereka tidak hanya dapat mengekstrak informasi tetapi juga meningkatkan hak akses ke eksekusi kode jarak jauh pada sistem operasi yang mendasarinya.
Dampak nyata pada organisasi dan titik akhir yang dikelola
Dampak dari kerentanan ini jauh melampaui sekadar kebocoran data. Kemampuan untuk mengeksekusi SQL sembarangan pada basis data FortiClientEMS memungkinkan penyerang untuk mencuri kata sandi administrator, sertifikat digital, dan inventaris lengkap perangkat yang terhubung ke platform.
Dengan tingkat akses tersebut, pelaku ancaman dapat memodifikasi kebijakan keamanan dan mendistribusikan konfigurasi berbahaya ke semua titik akhir yang dikelola. Hal ini membuka pintu bagi skenario kompleks di mana agen keamanan organisasi sendiri menjadi vektor serangan ke jaringan internal.
Selain itu, peretasan basis data manajemen juga memengaruhi kerahasiaan data yang tersimpan (misalnya, informasi tentang pengguna, peralatan, kebijakan, dan sertifikat), integritas (perubahan aturan, templat, dan penugasan), serta ketersediaan (kemungkinan penghapusan data atau sabotase server administrasi).
Ancaman ini sesuai dengan tren serangan yang semakin umum terhadap perangkat edge dan sistem manajemen , yang sangat dihargai oleh penjahat siber karena berfungsi sebagai pengumpul informasi dan pengendali atas sejumlah besar endpoint.
Karena semua alasan di atas, Fortinet telah mengklasifikasikan kerentanan ini sebagai kritis, dan lembaga serta perusahaan keamanan merekomendasikan untuk memperlakukan setiap instance FortiClientEMS 7.4.4 yang terekspos sebagai aset berisiko maksimum sampai terbukti sebaliknya.
Area eksploitasi dan paparan aktif
Meskipun beberapa laporan awal menunjukkan bahwa tidak ada eksploitasi aktif yang terdeteksi, para peneliti dari perusahaan Defused mengkonfirmasi serangan nyata yang memanfaatkan CVE-2026-21643 hanya empat hari sebelum kerentanan tersebut dipublikasikan.
Data yang dikumpulkan oleh organisasi seperti Shadowserver menunjukkan bahwa sekitar 2.000 instance FortiClientEMS terpapar langsung ke internet pada saat pemantauan. Amerika Serikat memimpin statistik dengan sekitar 756 server yang rentan, diikuti oleh Eropa dengan lebih dari 680. Shodan juga mendeteksi lebih dari 1.000 antarmuka web FortiClientEMS yang dapat diakses publik, banyak di antaranya kemungkinan belum diperbarui.
Entri registri NIST resmi untuk CVE-2026-21643 mendukung tingkat keparahan ekstrem ini, menunjukkan vektor AV:N/AC:L/PR:N/UI:N dengan dampak tinggi pada C, I, dan A. Ini menyiratkan bahwa server FortiClientEMS 7.4.4 apa pun dengan antarmuka web terbuka dapat sepenuhnya dikompromikan tanpa penyerang memerlukan kredensial atau harus meyakinkan pengguna mana pun untuk mengklik apa pun.
Defused melaporkan eksploitasi ini pada tanggal 28 Maret, dan juga mencatat bahwa, meskipun demikian, kerentanan tersebut belum tercantum dalam katalog KEV (Known Exploited Vulnerabilities) CISA atau daftar publik lainnya tentang kelemahan yang dieksploitasi secara aktif, sesuatu yang biasanya terjadi pada jendela eksploitasi awal ini.
Di sisi lain, Fortinet telah merilis patch perbaikan pada bulan Februari dengan versi 7.4.5, yang memperjelas pola berulang dalam keamanan siber: terdapat kesenjangan waktu yang signifikan antara ketersediaan perbaikan dan penerapannya di lingkungan produksi, suatu periode di mana penyerang memanfaatkan kesempatan untuk membahayakan sistem yang belum diperbarui.
Indikator kompromi dan tanda-tanda serangan
Bagi administrator yang mengelola FortiClientEMS, sangat penting untuk memahami petunjuk yang ditinggalkan oleh potensi upaya eksploitasi. Indikator kompromi (IoC) utama meliputi hal-hal berikut:
Pertama, mereka menyoroti waktu respons yang luar biasa lama, berkisar antara 5 hingga lebih dari 20 detik, pada titik akhir /api/v1/auth/signin o /api/v1/init_consts, seperti yang terlihat di log akses Apache atau server web lain yang berada di depannya.
Ini juga merupakan tanda peringatan untuk dilihat Respons HTTP 500 berulang dari alamat IP yang sama. terhadap titik akhir /api/v1/init_constsPola ini mungkin menunjukkan bahwa penyerang sedang menyempurnakan muatan injeksi SQL mereka melalui uji coba dan kesalahan hingga mereka menemukan yang berhasil dan tidak menimbulkan kesalahan.
Selain itu, ada baiknya juga untuk memeriksa log kesalahan PostgreSQL. pertanyaan search_path dengan tanda kutip tunggal, titik koma, atau kata kunci SQL. sebagai SELECT, INSERT o UPDATE di luar konteks yang diharapkan. Jenis jejak ini biasanya mengarah langsung pada upaya untuk memanipulasi header Situs.
Sebagai langkah penanggulangan, setiap server FortiClientEMS 7.4.4 yang telah terhubung ke internet tanpa pembaruan yang tepat harus dianggap berpotensi terkompromikan . Hal ini melibatkan pengisolasian server dari jaringan, melakukan analisis forensik terperinci (basis data, sistem operasi, dan log), dan merencanakan rekonstruksi lingkungan yang terkontrol jika ditemukan bukti intrusi.
Mitigasi segera dan solusi resmi dari Fortinet.
Langkah mitigasi utama sudah jelas: perbarui FortiClientEMS 7.4.4 ke versi 7.4.5 atau lebih tinggi sesegera mungkin. Fortinet memperbaiki kerentanan tersebut dengan mengganti interpolasi string dalam kueri dengan penanganan yang tepat terhadap pengidentifikasi berparameter dan melakukan escaping input secara aman dari header Situs.
Versi 8.0 dan 7.2, serta FortiEMS Cloud, tidak memerlukan tindakan tambahan , karena tidak terpengaruh oleh kerentanan khusus ini. Meskipun demikian, tetap disarankan untuk meninjau paparan internet dan konfigurasi akses Anda, karena permukaan serangan konsol manajemen harus selalu diminimalkan.
Bagi tim yang, karena alasan operasional, tidak dapat segera menerapkan patch, beberapa peneliti merekomendasikan mitigasi sementara: menonaktifkan fungsi "Situs" multi-tenant . Tindakan ini mencegah eksekusi jalur kode rentan yang terkait dengan header Situs, sehingga secara signifikan mengurangi opsi yang dapat dieksploitasi.
Demikian pula, sangat penting untuk membatasi akses web ke antarmuka manajemen EMS hanya pada jaringan internal tepercaya . Idealnya, konsol harus ditempatkan di balik VPN atau mekanisme akses zero-trust, dan tidak pernah dibiarkan terpapar langsung ke internet kecuali dalam kasus yang sangat luar biasa dan diamankan dengan benar.
Selain itu, disarankan untuk meninjau dan memperkuat aturan firewall dan WAF apa pun di depan FortiClientEMS , menerapkan filter yang memblokir pola injeksi SQL umum di header HTTP, terutama di header Site, dan memantau dengan cermat setiap permintaan API yang anomali.
Praktik keamanan yang baik di luar pembaruan perangkat lunak.
Selain sekadar menerapkan patch dan mitigasi spesifik, insiden ini memperjelas bahwa manajemen kerentanan harus menjadi proses berkelanjutan , bukan hanya reaksi sekali waktu terhadap saran dari vendor. Organisasi yang bergantung pada platform manajemen endpoint dan solusi keamanan jaringan harus memperkuat strategi mereka di beberapa bidang.
Di satu sisi, sangat penting untuk memiliki inventaris aset dan versi yang mutakhir , sehingga ketika CVE kritis dipublikasikan, dimungkinkan untuk mengidentifikasi dalam hitungan menit sistem mana yang rentan dan memprioritaskan pembaruannya sesuai dengan tingkat paparan dan kekritisannya.
Di sisi lain, disarankan untuk memilih pengujian penetrasi dan tinjauan arsitektur berkala yang memvalidasi tidak hanya ketahanan produk itu sendiri, tetapi juga bagaimana produk tersebut diterapkan: segmentasi jaringan, pemisahan bidang manajemen, pembatasan akses, pemantauan log terpusat, dan deteksi perilaku anomali.
Dari perspektif pengembangan, kasus ini sekali lagi menunjukkan pentingnya menerapkan praktik pengembangan yang aman dan pengujian regresi setiap kali dilakukan refactoring mendalam pada middleware atau komponen kritis. Peningkatan kinerja atau skalabilitas tidak dapat diiringi dengan kemunduran dalam mekanisme dasar seperti sanitasi input.
Perusahaan yang berspesialisasi dalam keamanan siber dan pengembangan yang aman menawarkan layanan audit kode, pengujian penetrasi, dan konsultasi yang dirancang khusus untuk mendeteksi kerentanan ini sebelum mencapai lingkungan produksi. Dalam lingkungan yang menggabungkan infrastruktur on-premises, cloud, dan perangkat edge, mengandalkan pakar eksternal seringkali membuat perbedaan besar.
Terakhir, pada tingkat tata kelola dan bisnis, sangat bermanfaat untuk memiliki dasbor dan intelijen bisnis yang memungkinkan visualisasi kondisi kerentanan, paparan antarmuka manajemen, dan potensi dampak kegagalan kritis pada proses organisasi. Pendekatan ini memfasilitasi prioritas investasi dan pembenaran langkah-langkah pencegahan yang, sekilas, mungkin tampak mahal, tetapi dapat mencegah banyak masalah dalam jangka menengah.
Kombinasi dari cacat desain yang serius, permukaan serangan yang besar, dan penundaan yang biasa terjadi dalam penambalan menjadikan CVE-2026-21643 sebagai contoh nyata mengapa keamanan konsol manajemen tidak boleh diremehkan. Setiap organisasi yang menggunakan FortiClientEMS atau solusi serupa harus menganggap insiden ini sebagai peringatan untuk meninjau postur keamanannya, mempercepat siklus pembaruannya, dan memperkuat pertahanan di sekitar platform manajemennya sebelum kerentanan zero-day atau injeksi SQL lainnya kembali merugikan mereka.
