Patch Tuesday April 2026 Perbaiki Kerentanan Kritis SAP, Adobe, Microsoft, dan Fortinet

Patch Tuesday bulan April 2026 menghadirkan pembaruan keamanan penting yang menambal sejumlah kerentanan kritis pada produk dari SAP, Adobe, Microsoft, Fortinet, dan vendor teknologi besar lainnya.

Kerentanan Kritis SAP: Ancaman SQL Injection Berbahaya

Salah satu kerentanan paling berbahaya yang diperbaiki adalah SQL injection pada SAP Business Planning and Consolidation dan SAP Business Warehouse (CVE-2026-27681) dengan skor CVSS 9.9. Kerentanan ini memungkinkan pengguna dengan hak terbatas mengunggah file berisi perintah SQL berbahaya yang kemudian dijalankan di database SAP.

"Program ABAP yang rentan memungkinkan pengguna dengan hak rendah untuk mengunggah file berisi perintah SQL sembarangan yang akan dieksekusi," kata Onapsis dalam advisori resminya.

Dalam skenario serangan, pelaku bisa mengeksploitasi fitur unggah untuk menjalankan perintah SQL berbahaya terhadap data BW/BPC, sehingga berpotensi mencuri data sensitif hingga menghapus atau merusak konten database. Menurut Pathlock, dampaknya bisa sangat luas:

• Manipulasi angka perencanaan
• Laporan yang rusak
• Data konsolidasi yang hilang
• Gangguan proses bisnis dan pelaporan eksekutif
• Potensi pencurian data secara tersembunyi dan gangguan bisnis yang nyata

Adobe Acrobat Reader dan ColdFusion Terkena Serangan Aktif

Adobe juga memperbaiki celah kritis di Acrobat Reader (CVE-2026-34621, skor CVSS 8.6) yang sudah dalam tahap eksploitasi aktif di dunia maya. Namun, sejauh ini belum ada informasi jumlah korban atau pelaku serangan yang teridentifikasi.

Selain itu, Adobe menambal lima celah kritis di ColdFusion versi 2023 dan 2025 yang memungkinkan eksekusi kode, denial of service, pembacaan file sembarangan, hingga bypass fitur keamanan. Berikut daftar kerentanan penting di ColdFusion:

• CVE-2026-34619 (7.7) – Path traversal menyebabkan bypass fitur keamanan
• CVE-2026-27304 (9.3) – Validasi input tidak tepat menyebabkan eksekusi kode
• CVE-2026-27305 (8.6) – Path traversal menyebabkan pembacaan file sistem
• CVE-2026-27282 (7.5) – Validasi input tidak tepat menyebabkan bypass fitur keamanan
• CVE-2026-27306 (8.4) – Validasi input tidak tepat menyebabkan eksekusi kode

Fortinet Tutup Dua Celah Berbahaya di FortiSandbox

Fortinet mengeluarkan patch untuk dua kerentanan kritis di FortiSandbox yang berpotensi memungkinkan pelaku tanpa otentikasi:

• CVE-2026-39813 (9.1) – Path traversal pada JRPC API yang memungkinkan bypass otentikasi melalui HTTP request khusus (fix di versi 4.4.9 dan 5.0.6)
• CVE-2026-39808 (9.1) – Command injection OS yang memungkinkan eksekusi kode tanpa izin melalui HTTP request khusus (fix di versi 4.4.9)

Microsoft Tangani 169 Kerentanan, Termasuk Serangan Aktif di SharePoint

Microsoft merilis patch untuk 169 kerentanan keamanan, termasuk kerentanan spoofing di SharePoint Server (CVE-2026-32201, skor 6.5) yang sudah dieksploitasi secara aktif. Kerentanan ini memungkinkan pelaku untuk mengakses informasi sensitif.

"SharePoint yang digunakan sebagai penyimpanan dokumen internal sangat menarik bagi pelaku ancaman yang ingin mencuri data, khususnya yang dapat digunakan untuk pemerasan dengan teknik double extortion," ujar Kev Breen, Direktur Senior Riset Ancaman di Immersive.

Selain itu, pelaku dengan akses ke SharePoint bisa menyebarkan dokumen berbahaya atau mengganti dokumen asli dengan versi terinfeksi, yang memungkinkan penyebaran malware secara lateral di dalam organisasi.

Perusahaan Teknologi Lainnya yang Merilis Patch Keamanan

Selain empat vendor besar tersebut, banyak perusahaan teknologi lainnya juga mengeluarkan pembaruan keamanan penting selama beberapa minggu terakhir, termasuk:

• ABB, Amazon Web Services, AMD, Apple, ASUS, AVEVA, Broadcom (termasuk VMware)
• Canon, Cisco, Citrix, CODESYS, D-Link, Dassault Systèmes, Dell, Devolutions
• dormakaba, Drupal, Elastic, F5, Foxit Software, FUJIFILM, Gigabyte, GitLab
• Google Android dan Pixel, Google Chrome, Google Cloud, Grafana, Hitachi Energy
• HP, HP Enterprise (termasuk Aruba Networking dan Juniper Networks), Huawei, IBM, Ivanti
• Jenkins, Lenovo, berbagai distribusi Linux, MediaTek, Mitel, Mitsubishi Electric, MongoDB, Moxa
• Mozilla Firefox, Firefox ESR, Thunderbird, NETGEAR, Node.js, NVIDIA, ownCloud, Palo Alto Networks
• Phoenix Contact, Progress Software, QNAP, Qualcomm, Rockwell Automation, Ruckus Wireless
• Samsung, Schneider Electric, Siemens, SonicWall, Splunk, Spring Framework, Supermicro
• Synology, TP-Link, WatchGuard, Xiaomi, dan lainnya.

Untuk informasi lebih lengkap dan update terbaru, Anda dapat membaca sumber aslinya di The Hacker News. Selain itu, media teknologi terpercaya seperti CNN Indonesia Teknologi juga menyediakan liputan mendalam terkait pembaruan keamanan ini.

Analisis Redaksi

Menurut pandangan redaksi, patch Tuesday April 2026 menegaskan bahwa kerentanan kritis pada perangkat lunak bisnis dan aplikasi populer masih menjadi sasaran utama pelaku ancaman dunia maya. Kerentanan SAP yang dapat memanipulasi data perencanaan dan laporan keuangan bukan hanya berpotensi merusak operasi bisnis, tetapi juga dapat merusak kepercayaan stakeholder dan memicu kerugian finansial yang besar.

Selain itu, eksploitasi aktif pada Adobe Acrobat Reader dan Microsoft SharePoint menunjukkan bahwa pelaku serangan semakin agresif dalam memanfaatkan celah yang belum diperbaiki. Organisasi harus segera menerapkan patch ini untuk menghindari risiko pencurian data hingga gangguan operasional yang serius.

Kedepannya, perusahaan dan pengguna harus meningkatkan kesadaran keamanan siber dengan melakukan pembaruan rutin dan memperkuat mekanisme deteksi serangan. Tren patch besar seperti ini juga mengingatkan bahwa keamanan aplikasi bisnis kritis menjadi investasi utama untuk melindungi data dan reputasi bisnis.