Pengantar

Perangkat firewall merupakan salah satu lapisan penting dalam menjaga keamanan jaringan perusahaan. Namun, perangkat keamanan juga dapat menjadi sasaran serangan siber ketika memiliki kerentanan yang belum diperbaiki.

Pada 16 Oktober 2026, The Hacker News melaporkan adanya aktivitas penyerang yang mengeksploitasi celah keamanan pada Fortinet FortiOS untuk menyebarkan malware baru bernama PEERSTITCH. Malware ini memiliki kemampuan khusus yang membuat aktivitasnya lebih sulit dideteksi oleh sistem keamanan konvensional. <Cite refs={[“turn431744search0”]}/>

Mengenal FortiOS dan FortiGate

FortiOS adalah sistem operasi yang digunakan pada berbagai produk keamanan Fortinet, termasuk firewall FortiGate. Perangkat ini membantu organisasi mengendalikan lalu lintas jaringan, mengamankan koneksi VPN, serta membatasi akses yang tidak diizinkan.

Karena berada di bagian penting infrastruktur jaringan, perangkat FortiGate sering memiliki akses ke berbagai sistem internal perusahaan. Jika perangkat tersebut berhasil disusupi, penyerang berpotensi memanfaatkan aksesnya untuk menjalankan aktivitas berbahaya di dalam jaringan.

Itulah sebabnya, keamanan firewall tidak hanya bergantung pada konfigurasi yang baik, tetapi juga pada pembaruan perangkat lunak dan pemantauan aktivitas secara rutin.

Celah Keamanan yang Dieksploitasi

Menurut laporan yang dirujuk, serangan ini memanfaatkan CVE-2025-61624, yaitu kerentanan path traversal pada interpreter baris perintah FortiOS. Kerentanan tersebut juga memengaruhi FortiPAM, FortiProxy, dan FortiSwitchManager.

Secara sederhana, path traversal merupakan kelemahan yang dapat memungkinkan seseorang mengakses atau memanipulasi berkas di luar lokasi yang semestinya diizinkan.

Dalam kasus CVE-2025-61624, penyerang yang telah memiliki hak akses istimewa dapat menggunakan argumen perintah yang dibuat secara khusus untuk menulis atau menghapus berkas tertentu.

Fortinet telah memperbaiki kerentanan ini pada April 2026. Namun, perangkat yang belum diperbarui atau lingkungan yang masih memiliki kelemahan konfigurasi tetap perlu diperiksa secara menyeluruh. <Cite refs={[“turn431744search0”]}/>

Bagaimana Malware PEERSTITCH Bekerja?

PEERSTITCH merupakan malware yang dirancang untuk berjalan di memori perangkat yang menjadi target. Pendekatan ini berbeda dari malware konvensional yang biasanya meninggalkan berkas program di penyimpanan perangkat.

Berdasarkan temuan peneliti keamanan Palo Alto Networks Unit 42, PEERSTITCH memiliki beberapa karakteristik penting:

• Berjalan di memori: malware tidak meninggalkan berkas biner persisten seperti yang umum ditemukan pada sejumlah jenis malware.
• Tidak membuka port untuk mendengarkan koneksi: malware tidak mengandalkan port jaringan terbuka untuk menerima koneksi masuk.
• Memanfaatkan proses yang sah: komunikasi malware dilakukan melalui lalu lintas yang dihasilkan oleh proses yang memang berjalan secara normal pada perangkat yang terinfeksi.

Karakteristik tersebut membuat pendeteksian menjadi lebih sulit. Sistem keamanan yang hanya mencari berkas malware atau memeriksa port jaringan yang mencurigakan mungkin tidak cukup untuk menemukan aktivitas semacam ini. <Cite refs={[“turn431744search0”]}/>

Mengapa Serangan Ini Berbahaya?

Serangan terhadap perangkat firewall dapat menimbulkan risiko yang serius karena perangkat tersebut menjadi penghubung antara jaringan internal dan dunia luar.

Jika penyerang berhasil memanfaatkan perangkat yang rentan, beberapa risiko yang perlu diperhatikan meliputi:

1. Akses tidak sah ke infrastruktur jaringan. Penyerang berpotensi memanfaatkan perangkat yang telah disusupi sebagai bagian dari aktivitas serangan berikutnya.
2. Pencurian informasi sensitif. Akses ke perangkat jaringan dapat meningkatkan risiko terhadap data konfigurasi, kredensial, dan informasi lain yang dapat dijangkau melalui perangkat tersebut.
3. Kesulitan mendeteksi aktivitas berbahaya. Malware yang beroperasi di memori dan menggunakan proses yang sah dapat lebih sulit dikenali dengan metode deteksi sederhana.
4. Gangguan operasional. Jika perangkat keamanan terganggu, organisasi dapat menghadapi risiko terhadap ketersediaan dan perlindungan jaringan.

Dampak tersebut merupakan risiko yang perlu diantisipasi. Tidak berarti seluruh dampak itu telah dikonfirmasi terjadi pada setiap perangkat yang menjadi sasaran.

Langkah Pencegahan yang Perlu Dilakukan

Administrator jaringan perlu mengambil langkah pencegahan untuk mengurangi risiko eksploitasi kerentanan FortiOS.

1. Perbarui perangkat lunak

Periksa versi FortiOS yang digunakan dan pastikan perangkat telah menggunakan versi yang diperbaiki oleh Fortinet. Administrator juga perlu memeriksa advisory resmi untuk mengetahui versi yang terdampak dan pembaruan yang sesuai.

Pembaruan keamanan penting karena perangkat yang belum diperbaiki dapat menjadi sasaran serangan yang memanfaatkan kerentanan yang sudah diketahui.

2. Batasi akses administrator

Antarmuka administrasi firewall sebaiknya tidak dibuka secara bebas ke internet. Batasi akses hanya untuk alamat IP atau jaringan manajemen yang telah diizinkan.

Gunakan autentikasi multifaktor jika tersedia dan terapkan prinsip hak akses minimum untuk setiap akun administrator.

3. Periksa log perangkat

Administrator perlu memeriksa log untuk menemukan aktivitas yang tidak biasa, misalnya:

• Perintah administrasi yang tidak dikenal.
• Perubahan konfigurasi tanpa persetujuan.
• Aktivitas login pada waktu atau sumber yang tidak biasa.
• Pembuatan akun administrator yang tidak dapat dijelaskan.
• Aktivitas proses atau komunikasi jaringan yang menyimpang dari pola normal.

Tidak semua aktivitas tersebut otomatis menunjukkan infeksi PEERSTITCH, tetapi dapat menjadi petunjuk awal untuk melakukan investigasi.

4. Tingkatkan pemantauan menggunakan SIEM

Organisasi dapat mengintegrasikan log firewall dengan sistem Security Information and Event Management (SIEM), seperti Wazuh atau Splunk.

Sistem ini membantu mengumpulkan dan menghubungkan berbagai log keamanan. Dengan aturan deteksi yang tepat, tim keamanan dapat mengidentifikasi pola aktivitas mencurigakan yang mungkin tidak terlihat ketika setiap log diperiksa secara terpisah.

Untuk ancaman yang beroperasi di memori, pemantauan juga perlu mempertimbangkan perilaku proses, aktivitas administratif, serta pola komunikasi jaringan.

5. Lakukan investigasi jika ditemukan indikasi kompromi

Jika terdapat tanda-tanda perangkat telah disusupi, jangan hanya mengandalkan pembaruan perangkat lunak. Tim keamanan perlu melakukan investigasi untuk mengetahui apakah penyerang telah memperoleh akses dan apakah terdapat aktivitas berbahaya yang masih berlangsung.

Simpan bukti dan log yang relevan, ikuti prosedur respons insiden, serta pertimbangkan untuk mengganti kredensial yang berpotensi terdampak setelah melakukan penilaian yang sesuai.

Apa yang Perlu Diperhatikan oleh Tim SOC?

Bagi tim Security Operations Center (SOC), kasus PEERSTITCH menunjukkan pentingnya pendekatan deteksi berbasis perilaku.

Deteksi yang hanya mengandalkan tanda tangan malware atau pencarian berkas mencurigakan memiliki keterbatasan. Tim SOC perlu menggabungkan beberapa sumber informasi, termasuk log firewall, aktivitas autentikasi, perubahan konfigurasi, dan lalu lintas jaringan.

Tim juga harus memahami bahwa perangkat keamanan dapat menjadi target serangan, bukan sekadar alat untuk melindungi sistem lain.

Karena itu, firewall, VPN, dan perangkat manajemen jaringan perlu dimasukkan ke dalam proses pemantauan serta respons insiden organisasi.

Kesimpulan

Eksploitasi kerentanan FortiOS untuk menyebarkan PEERSTITCH menjadi pengingat bahwa perangkat keamanan jaringan tetap memiliki risiko kerentanan. Malware ini menarik perhatian karena dirancang untuk beroperasi di memori dan memanfaatkan proses yang sah, sehingga pendeteksiannya dapat menjadi lebih sulit.

Organisasi perlu memastikan perangkat Fortinet telah diperbarui, membatasi akses administratif, memeriksa log secara berkala, dan meningkatkan kemampuan deteksi berbasis perilaku.

Keamanan jaringan tidak cukup hanya dengan memasang firewall. Perangkat keamanan itu sendiri juga harus dikelola, diperbarui, dan dipantau secara berkelanjutan.

Referensi

• The Hacker News — .
• Fortinet PSIRT — .