Ringkasan Kerentanan

CVE-2026-19868 merupakan kerentanan use of single-factor authentication pada SonicWall SonicOS SSLVPN. Dalam kondisi tertentu, pengguna yang memiliki kredensial valid untuk metode autentikasi alternatif dapat membypass kontrol autentikasi SAML yang seharusnya berlaku. Dampak yang lebih serius, eksploitasi yang berhasil juga berpotensi membypass multi-factor authentication (MFA) yang diberlakukan melalui SAML. Artinya, organisasi yang mengandalkan SAML dan MFA sebagai lapisan perlindungan utama pada akses VPN berisiko kehilangan jaminan keamanan tersebut apabila kerentanan ini tidak dimitigasi.

Berdasarkan data yang tersedia, kerentanan ini tidak dapat diotomasi secara massal dan memiliki tingkat kompleksitas serangan yang tinggi. Meskipun demikian, status eksploitasi dilaporkan aktif, sehingga risiko nyata di lapangan tetap perlu diperhitungkan. Informasi mengenai kemungkinan penggunaan oleh kelompok ransomware belum diketahui (unknown).

Produk Terdampak

• Vendor: SonicWall

• Produk: SonicOS SSLVPN

• Komponen terdampak: mekanisme autentikasi SSLVPN, khususnya interaksi antara autentikasi alternatif dan kontrol SAML/MFA

Organisasi yang menggunakan SonicWall SonicOS SSLVPN, terutama yang mengaktifkan autentikasi SAML dan kebijakan MFA berbasis SAML, disarankan segera memeriksa konfigurasi dan versi perangkat lunaknya. Rincian versi yang terkonfirmasi terdampak perlu diverifikasi langsung pada pengumuman resmi vendor.

Tingkat Keparahan

Kerentanan ini memiliki skor CVSS 7.5 (High) dengan vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:L/A:N. Penjelasan singkat dari vektor tersebut:

• AV:N (Network): dapat dieksploitasi dari jarak jauh melalui jaringan.

• AC:H (High complexity): membutuhkan kondisi atau pengetahuan khusus agar berhasil dieksploitasi.

• PR:N (No privileges required): tidak memerlukan hak akses istimewa di awal.

• UI:N (No user interaction): tidak memerlukan interaksi dari pengguna lain.

• S:C (Scope Changed): dampak dapat meluas ke komponen keamanan di luar komponen yang rentan.

• C:H / I:L / A:N: dampak tinggi terhadap kerahasiaan data, dampak rendah terhadap integritas, dan tidak berdampak langsung pada ketersediaan layanan.

Dengan kategori High dan status eksploitasi aktif, prioritas penanganan berada pada tingkat tinggi. Tenggat perbaikan yang ditetapkan adalah 20 November 2026.

Tindakan yang Disarankan

1. Terapkan mitigasi sesuai instruksi vendor. Ikuti panduan resmi SonicWall, termasuk pembaruan perangkat lunak atau konfigurasi pengganti yang direkomendasikan.

2. Selaraskan dengan panduan CISA BOD 26-04. Pastikan penanganan mengikuti arahan Prioritizing Security Updates Based on Risk, termasuk ketentuan untuk layanan cloud.

3. Penuhi ketentuan forensik. Ikuti persyaratan Forensics Triage Requirements dari CISA apabila terdapat indikasi eksploitasi.

4. Evaluasi paparan internet. Setiap pemangku kepentingan bertanggung jawab menilai tingkat paparan aset SSLVPN yang terhubung langsung ke internet dan memprioritaskan aset paling kritis.

5. Hentikan penggunaan bila mitigasi belum tersedia. Apabila tidak ada mitigasi yang dapat diterapkan, pertimbangkan untuk menonaktifkan sementara layanan yang terdampak.

6. Audit konfigurasi autentikasi. Tinjau kebijakan SAML, MFA, dan metode autentikasi alternatif yang masih aktif pada SSLVPN.

7. Periksa log akses. Lakukan penelusuran terhadap indikasi upaya login mencurigakan, terutama yang berasal dari lokasi atau perangkat yang tidak wajar.

    

Kerentanan CVE-2026-19868 menunjukkan bahwa lapisan autentikasi yang tampak kuat sekalipun, seperti SAML dengan MFA, tetap perlu diuji dan dipantau secara berkala. Mengingat status eksploitasi yang aktif dan tenggat perbaikan pada 20 November 2026, kami mengimbau seluruh perangkat daerah dan pengelola infrastruktur TI di lingkungan Pemerintah Kota Tangerang untuk segera menindaklanjuti. Apabila memerlukan pendampingan teknis, klarifikasi, atau ingin melaporkan indikasi insiden terkait kerentanan ini, silakan menghubungi CSIRT Pemerintah Kota Tangerang melalui kanal komunikasi resmi yang tersedia.

Kerentanan tersebut identifikasi sebagai CVE-2026-123158. Eksploitasi dapat memungkinkan penyerang yang memiliki network access ke SSH server untuk masuk ke akun yang seharusnya tidak menerima password authentication, termasuk akun yang dikonfigurasi hanya menggunakan SSH key. OpenSSH merilis Portable OpenSSH 10.6p2 pada 5 November 2026 untuk mengatasi masalah ini. Alpine Linux juga telah menyediakan pembaruan paket yang mencakup berbagai release, termasuk versi yang lebih lama. Kerentanan ini perlu mendapat perhatian khusus dari administrator server, pengelola cloud infrastructure, serta organisasi yang menggunakan Alpine Linux sebagai sistem operasi server maupun container base image.

Mengenal Kerentanan CVE-2026-123158

CVE-2026-123158 merupakan kerentanan pada proses SSH password authentication yang terjadi akibat interaksi antara OpenSSH, musl libc, dan mekanisme pengelolaan password pada sistem Linux. Dalam kondisi tertentu, penyerang dapat mengirimkan password dengan panjang antara 257 hingga 1.024 bytes untuk melewati proses authentication pada akun yang tidak memiliki password valid.

Kerentanan ini tidak disebabkan oleh kelemahan algoritma enkripsi SSH. Masalahnya terletak pada cara OpenSSH menangani hasil password-hashing operation ketika menggunakan musl libc tanpa PAM. OpenSSH mengategorikan kerentanan ini sebagai Critical. Sementara itu, sejumlah laporan keamanan mencantumkan CVSS 3.1 score 8.1 dengan severity High. Perbedaan tersebut menunjukkan bahwa severity rating dari vendor dan penilaian berdasarkan CVSS dapat menggunakan pendekatan yang berbeda.

Bagaimana sshole Bekerja

Kerentanan ini melibatkan beberapa kondisi yang saling berkaitan pada proses authentication. Pada sistem Linux, password pengguna umumnya disimpan dalam bentuk hash pada file /etc/shadow. Ketika pengguna melakukan SSH login menggunakan password, server akan memproses password tersebut melalui fungsi password-hashing sebelum membandingkannya dengan nilai yang tersimpan. Pada sistem yang menggunakan musl libc, fungsi crypt() memiliki batas panjang input password. Apabila password yang diberikan melebihi batas tersebut, proses hashing dapat gagal dan menghasilkan nilai *. Nilai tersebut memiliki arti khusus dalam pengelolaan akun Linux. Pada /etc/shadow, karakter * digunakan untuk menunjukkan bahwa akun tidak memiliki password hash yang valid untuk password authentication.

Dalam konfigurasi OpenSSH tertentu, hasil kegagalan hashing tersebut dapat dibandingkan dengan nilai yang tersimpan pada akun target. Akibatnya, kondisi yang seharusnya menunjukkan kegagalan authentication justru dapat diperlakukan sebagai keberhasilan. Kondisi ini memungkinkan penyerang melewati password authentication tanpa mengetahui password sebenarnya dari akun target.

Kondisi Sistem yang Terdampak

Tidak semua instalasi OpenSSH terdampak oleh kerentanan ini. Eksploitasi memerlukan sejumlah kondisi yang harus terpenuhi secara bersamaan. Sistem berpotensi terdampak apabila memenuhi kondisi berikut:

• Menggunakan Linux dengan musl libc, seperti Alpine Linux.

• Menjalankan OpenSSH server yang melakukan password authentication tanpa PAM.

• Mengaktifkan PasswordAuthentication.

• Memiliki akun yang password field-nya berisi *, seperti akun yang hanya menggunakan SSH key.

• Memiliki setidaknya satu akun lokal lain dengan password hash yang valid.

• SSH service dapat dijangkau melalui jaringan oleh penyerang.

Alpine Linux menjadi salah satu distribusi yang mendapat perhatian karena paket standard openssh-server dibangun tanpa PAM dan password authentication secara default masih diaktifkan. Selain Alpine Linux, sistem berbasis musl lainnya seperti OpenWrt, Buildroot, dan Yocto juga perlu dievaluasi berdasarkan konfigurasi OpenSSH yang digunakan.

Sebaliknya, sistem yang menggunakan glibc, OpenSSH dengan PAM, atau menonaktifkan password authentication tidak termasuk dalam kondisi terdampak yang dijelaskan pada advisory tersebut. Perlu diperhatikan bahwa penggunaan Alpine Linux sebagai container base image tidak secara otomatis membuat sebuah container terdampak. Risiko ini berkaitan dengan keberadaan OpenSSH server dan konfigurasi authentication yang digunakan.

Potensi Dampak terhadap Infrastruktur Cloud

Dampak kerentanan ini dapat menjadi lebih serius pada lingkungan cloud yang menggunakan Alpine Linux. Beberapa cloud image Alpine Linux menyediakan akun default seperti alpine yang tidak memiliki password. Pada konfigurasi tertentu, akun tersebut juga dapat menggunakan doas untuk memperoleh privilege yang lebih tinggi. Apabila akun tersebut berhasil diakses melalui eksploitasi CVE-2026-123158, penyerang berpotensi memperoleh akses yang lebih luas terhadap sistem.

Namun, akses root tidak terjadi secara otomatis pada seluruh sistem yang terdampak. Peningkatan privilege bergantung pada konfigurasi akun, hak akses yang diberikan, serta mekanisme privilege escalation yang tersedia. Dalam lingkungan server yang menyimpan data penting atau menjalankan layanan internal, akses tidak sah melalui SSH dapat menjadi titik awal bagi aktivitas lanjutan seperti pengumpulan informasi, penyalahgunaan akun, maupun pergerakan ke sistem lain.

OpenSSH dan Alpine Linux Telah Merilis Pembaruan

OpenSSH merilis Portable OpenSSH 10.6p2 pada 5 November 2026 untuk mengatasi kerentanan tersebut. Alpine Linux juga telah menyediakan paket perbaikan untuk berbagai release. Administrator perlu memastikan paket yang digunakan sesuai dengan versi Alpine Linux yang berjalan pada sistem. Berikut daftar versi paket yang telah diperbaiki berdasarkan advisory yang tersedia.

Pembaruan ini mencakup Alpine Linux release hingga versi 3.16. Administrator tetap perlu memperhatikan status dukungan masing-masing release dan memastikan pembaruan dilakukan melalui repository resmi.

Rekomendasi Mitigasi

Administrator server dan pengelola infrastruktur pemerintah diimbau untuk segera melakukan pemeriksaan terhadap sistem yang menggunakan OpenSSH, khususnya pada server berbasis Alpine Linux dan musl libc. Langkah mitigasi yang direkomendasikan meliputi

• Lakukan inventarisasi OpenSSH server
  Identifikasi server yang menjalankan OpenSSH, termasuk server cloud, virtual machine, container host, dan perangkat embedded yang menggunakan sistem berbasis musl libc.

• Perbarui paket OpenSSH
  Segera lakukan pembaruan ke OpenSSH 10.6p2 atau paket perbaikan yang telah disediakan oleh distribusi Linux masing-masing.

• Nonaktifkan password authentication jika belum dapat melakukan pembaruan
  Administrator dapat menetapkan PasswordAuthentication no pada konfigurasi SSH server sebagai langkah mitigasi sementara. Pastikan akses administratif alternatif tersedia sebelum menerapkan perubahan konfigurasi.

• Evaluasi akun yang tidak memiliki password
  Periksa akun yang menggunakan SSH key-only authentication maupun akun lain yang memiliki password field tidak valid. Pastikan konfigurasi akses sesuai dengan kebutuhan operasional.

• Periksa konfigurasi PAM
  Pastikan SSH server menggunakan konfigurasi authentication yang sesuai. Penggunaan PAM dapat menjadi salah satu faktor yang membedakan sistem terdampak dan tidak terdampak.

• Audit SSH authentication logs
  Lakukan pemeriksaan terhadap aktivitas login yang tidak biasa, terutama keberhasilan password authentication pada akun yang seharusnya tidak menerima password login.

• Evaluasi cloud image dan container
  Periksa image Alpine Linux yang digunakan untuk menjalankan layanan cloud. Pastikan image telah diperbarui dan tidak menjalankan SSH server dengan konfigurasi yang rentan.

Perlu diingat bahwa menonaktifkan password authentication merupakan mitigasi sementara. Administrator tetap perlu menerapkan pembaruan keamanan yang telah disediakan oleh OpenSSH atau distribusi Linux terkait.

Bagi instansi pemerintah dan organisasi yang mengelola infrastruktur berbasis Linux, pengelolaan SSH service perlu menjadi bagian dari proses vulnerability management secara berkelanjutan. Administrator diimbau untuk segera melakukan inventarisasi sistem, memeriksa konfigurasi SSH authentication, serta menerapkan pembaruan keamanan yang tersedia. Langkah tersebut dapat membantu mengurangi risiko akses tidak sah terhadap server dan menjaga keamanan layanan yang mendukung operasional instansi.

Referensi

• The Hacker News, OpenSSH Issues Emergency Fix for Flaw Letting Long Passwords Bypass SSH Auth on Alpine Linux, 5 November 2026.
  https://thehackernews.com/2026/11/openssh-issues-emergency-fix-for-flaw.html

• Konfirmity, CVE-2026-123158 (sshole): Alpine OpenSSH Password Bypass.
  https://www.konfirmity.com/advisories/alpine-openssh-password-bypass-cve-2026-123158

Kerentanan ini berdampak pada perangkat yang menjalankan Android 14 hingga Android 17. Berdasarkan informasi dalam Android Security Bulletin November 2026, Google telah menyediakan perbaikan melalui security patch level 2026-11-01 atau yang lebih baru. Meskipun belum ditemukan indikasi eksploitasi aktif terhadap kerentanan tersebut berdasarkan laporan Google per 4 November 2026, potensi dampaknya tetap perlu menjadi perhatian, khususnya bagi organisasi yang menggunakan perangkat Android untuk mendukung aktivitas operasional dan mengakses layanan internal.

Kerentanan CVE-2026-58868 pada Android Framework

CVE-2026-58868 merupakan kerentanan yang disebabkan oleh heap buffer overflow pada fungsi onOutputReceived dalam file FrameDecoder.cpp. Kondisi tersebut dapat memicu out-of-bounds write, yaitu situasi ketika proses penulisan data dilakukan di luar batas memori yang telah dialokasikan. Dalam kondisi tertentu, kelemahan ini berpotensi dimanfaatkan untuk menjalankan kode secara remote pada perangkat yang terdampak. Google mengategorikan kerentanan ini sebagai Critical karena potensi dampaknya terhadap keamanan perangkat. Salah satu aspek yang membuat kerentanan ini perlu mendapat perhatian adalah tidak adanya kebutuhan akan additional execution privileges maupun user interaction untuk eksploitasi. Dengan kata lain, eksploitasi tidak selalu memerlukan tindakan langsung dari pengguna, seperti membuka aplikasi atau mengklik tautan tertentu.

Meski demikian, Google belum mengungkapkan secara terperinci bagaimana penyerang dapat mencapai fungsi yang rentan tersebut. Oleh sebab itu, mekanisme eksploitasi dan kemungkinan jalur serangan secara spesifik belum dapat dipastikan berdasarkan informasi yang tersedia. Google juga menegaskan bahwa penilaian tingkat keparahan tersebut didasarkan pada asumsi bahwa mekanisme perlindungan bawaan Android dan layanan Google dinonaktifkan atau berhasil dilewati.

Cakupan Perangkat dan Status Eksploitasi

Kerentanan CVE-2026-58868 tercatat memengaruhi Android 14, Android 15, Android 16, dan Android 17. Sementara itu, Android 12 dan Android 13 tidak tercantum sebagai versi terdampak dalam publikasi tersebut. Namun, tidak adanya pencantuman bukan berarti kedua versi tersebut telah dipastikan bebas dari kerentanan serupa. Berdasarkan informasi yang tersedia hingga 4 November 2026, Google belum melaporkan adanya eksploitasi aktif terhadap kerentanan yang tercantum dalam Android Security Bulletin November 2026. CVE-2026-58868 juga belum tercantum dalam Known Exploited Vulnerabilities (KEV) Catalog milik Cybersecurity and Infrastructure Security Agency (CISA) berdasarkan pembaruan katalog pada 3 November 2026. Status tersebut menunjukkan bahwa belum terdapat konfirmasi mengenai eksploitasi aktif pada periode pelaporan. Meski begitu, kondisi ini tidak menghilangkan risiko yang mungkin muncul apabila perangkat tetap menggunakan versi yang belum mendapatkan pembaruan keamanan.

Google Memperbaiki 216 Kerentanan pada Pembaruan November 2026

Pembaruan keamanan Android November 2026 mencakup total 216 kerentanan, dengan 23 di antaranya dikategorikan sebagai Critical. Selain CVE-2026-58868, terdapat dua kerentanan Critical lain yang berpotensi menyebabkan Remote Code Execution pada komponen Android System, yaitu:

• CVE-2026-58876

• CVE-2026-58936

Google juga memperbaiki sejumlah kerentanan pada Android Kernel, termasuk kelemahan pada komponen Bluetooth. Beberapa kerentanan lainnya ditemukan pada komponen yang dikembangkan oleh vendor chipset dan teknologi perangkat keras, seperti MediaTek, Qualcomm, Arm, Imagination Technologies, dan Unisoc. Hal ini menunjukkan bahwa cakupan pembaruan keamanan Android tidak hanya terbatas pada komponen utama sistem operasi, tetapi juga mencakup berbagai komponen pendukung yang berperan dalam operasional perangkat.

Dua Security Patch Level untuk Pembaruan November 2026

Google menggunakan dua security patch level dalam pembaruan keamanan November 2026. Pemisahan ini memungkinkan produsen perangkat mendistribusikan perbaikan untuk komponen Android yang umum digunakan tanpa harus menunggu seluruh pembaruan tersedia. Berikut perbedaan kedua patch level tersebut:

1. Security Patch Level 2026-11-01: Mencakup perbaikan pada komponen Android Framework, System, dan Android Runtime. Perbaikan untuk CVE-2026-58868 termasuk dalam kelompok pembaruan ini.

2. Security Patch Level 2026-11-05: Mencakup seluruh perbaikan dalam bulletin November 2026, termasuk kerentanan pada Android Kernel dan komponen dari vendor pihak ketiga.

Google mendorong produsen perangkat untuk menyertakan seluruh perbaikan yang tersedia dalam pembaruan keamanan mereka. Jadwal distribusi pembaruan dapat berbeda pada setiap perangkat. Produsen perangkat dan operator seluler memiliki jadwal distribusi masing-masing sehingga tidak semua perangkat menerima pembaruan pada waktu yang sama.

Kerentanan Critical Lain pada Pemrosesan WAP Push

Selain CVE-2026-58868, Android Security Bulletin November 2026 juga mencantumkan CVE-2026-58882, sebuah kerentanan Critical yang berpotensi menyebabkan Remote Denial-of-Service (DoS). Kerentanan ini ditemukan pada fungsi decodeWapPdu, yang digunakan untuk memproses WAP Push messages yang diterima melalui SMS. Pada 29 Oktober 2026, seorang peneliti keamanan yang menggunakan nama Mark B memublikasikan analisis mengenai bug pada fungsi yang sama dengan judul "SMS of Death".

Menurut analisis tersebut, WAP Push message yang malformed dapat menyebabkan komponen com.android.phone mengalami crash dan mengganggu panggilan aktif, termasuk panggilan darurat. Meski demikian, Google dan catatan CVE belum secara eksplisit mengonfirmasi bahwa CVE-2026-58882 merupakan kerentanan yang sama dengan temuan yang dipublikasikan oleh peneliti tersebut. Informasi ini menjadi pengingat bahwa kerentanan pada komponen pemrosesan pesan dapat berdampak pada ketersediaan layanan komunikasi perangkat, bahkan tanpa memerlukan interaksi pengguna.

Rekomendasi Mitigasi bagi Pengguna dan Instansi Pemerintah

Perangkat Android yang digunakan untuk mendukung aktivitas operasional instansi pemerintah perlu mendapatkan perhatian dalam proses pengelolaan keamanan endpoint.

Berikut beberapa langkah mitigasi yang dapat dilakukan.

• Periksa Android Security Patch Level
  Pengguna dapat membuka menu Settings, memilih About phone atau About tablet, kemudian masuk ke Android version untuk memeriksa tanggal Android security update.

• Lakukan pembaruan keamanan
  Pastikan perangkat telah menerima pembaruan dengan security patch level 2026-11-01 atau yang lebih baru untuk memperoleh perbaikan CVE-2026-58868.

• Prioritaskan perangkat yang digunakan untuk operasional
  Perangkat yang digunakan untuk mengakses layanan internal, sistem administrasi, email kedinasan, maupun aplikasi yang menyimpan informasi sensitif perlu diprioritaskan dalam proses verifikasi dan pembaruan keamanan.

• Lakukan inventarisasi perangkat Android
  Instansi perlu memastikan bahwa perangkat yang digunakan oleh pegawai telah tercatat, termasuk versi Android, security patch level, dan status dukungan pembaruan dari produsen.

• Terapkan kebijakan pengelolaan perangkat
  Penggunaan Mobile Device Management (MDM) dapat membantu organisasi memantau kepatuhan perangkat terhadap kebijakan keamanan, termasuk persyaratan minimum security patch level.

• Evaluasi perangkat yang tidak lagi mendapatkan pembaruan
  Perangkat yang tidak memperoleh security update dari produsen perlu dievaluasi. Jika perangkat tersebut digunakan untuk aktivitas kedinasan, organisasi dapat mempertimbangkan pembatasan akses terhadap layanan internal atau penggantian perangkat.

Google tidak menyebutkan adanya workaround khusus untuk perangkat yang belum dapat menerima pembaruan keamanan ini. Oleh karena itu, memastikan perangkat memperoleh patch yang sesuai menjadi langkah mitigasi utama.

CVE-2026-58868 memperlihatkan bahwa kerentanan pada komponen internal sistem operasi dapat memiliki dampak serius terhadap keamanan perangkat mobile. Potensi Remote Code Execution tanpa user interaction menjadikan kerentanan ini relevan untuk diperhatikan, terutama dalam lingkungan organisasi yang mengandalkan perangkat Android sebagai bagian dari infrastruktur operasional. Bagi instansi pemerintah, pengelolaan keamanan perangkat mobile perlu menjadi bagian dari proses vulnerability management yang dilakukan secara berkelanjutan. Inventarisasi perangkat, pemantauan security patch level, dan penerapan kebijakan pembaruan keamanan dapat membantu mengurangi risiko akibat penggunaan perangkat yang belum mendapatkan perbaikan. Pengguna dan pengelola perangkat Android di lingkungan instansi pemerintah diimbau untuk segera memeriksa ketersediaan pembaruan keamanan dan memastikan perangkat telah menggunakan security patch level yang sesuai.

Referensi

• The Hacker News, Google Issues Patches for Critical Android Flaw That Could Allow RCE Without User Interaction, 4 November 2026. https://thehackernews.com/2026/11/google-patches-critical-android-flaw.html

• Android Security Bulletin, November 2026.

Telegram telah memperbaiki masalah ini melalui Telegram untuk Android versi 12.10.4. Pengguna disarankan memastikan aplikasi yang digunakan telah diperbarui ke versi tersebut atau yang lebih baru. Hingga 29 Oktober 2026, kerentanan ini belum memiliki identitas CVE yang diumumkan dalam laporan sumber.

Menurut NebuSec, kerentanan ditemukan pada komponen pemrosesan pesan MediaState dalam mekanisme panggilan Telegram. Pesan ini digunakan untuk menyampaikan informasi terkait kondisi media selama panggilan berlangsung, seperti status mikrofon, kamera, dan orientasi video. Masalah muncul ketika aplikasi memproses pesan dengan field atau parameter yang tidak lengkap. Implementasi kode yang terdampak dilaporkan tidak menangani kondisi tersebut secara tepat sehingga dapat mengakses area memori yang tidak semestinya.

Pemeriksaan terhadap source code Telegram versi 12.10.3 oleh The Hacker News menemukan bagian kode yang sesuai dengan deskripsi kerentanan tersebut. Dalam implementasi yang bermasalah, kode memeriksa nilai rotasi video, tetapi kemudian membaca field status video yang berbeda meskipun field tersebut tidak tersedia pada pesan. Kesalahan dalam penanganan data semacam ini dapat menimbulkan masalah memory safety dan, dalam kondisi tertentu, membuka peluang untuk mengeksploitasi aplikasi (Lihat di sini untuk PoC).

NebuSec menyatakan bahwa temuannya dapat dikembangkan menjadi serangan yang memungkinkan eksekusi kode pada perangkat korban. Perusahaan tersebut juga memperlihatkan demonstrasi serangan menggunakan dua perangkat, dengan perangkat korban menerima panggilan Telegram sebelum menampilkan indikasi kompromi. Meski demikian, terdapat batasan dalam informasi yang tersedia untuk publik. Pada saat laporan diterbitkan, NebuSec belum memublikasikan penjelasan teknis lengkap mengenai tahapan eksploitasi. Versi Telegram dan Android yang digunakan dalam video demonstrasi juga tidak diperlihatkan secara jelas. Dengan demikian, klaim mengenai eksekusi kode perlu dipahami berdasarkan keterangan peneliti dan demonstrasi yang dipublikasikan, bukan sebagai bukti bahwa seluruh perangkat yang menggunakan Telegram dapat dieksploitasi dengan cara yang sama.

Berdasarkan informasi yang disampaikan NebuSec kepada The Hacker News, rentang versi Telegram untuk Android yang terdampak adalah sebagai berikut:

• Versi terdampak: Telegram Android 8.6.2 hingga 12.10.3.

• Versi perbaikan: Telegram Android 12.10.4 atau yang lebih baru.

• Identitas CVE: Belum tersedia dalam laporan per 29 Oktober 2026.

• Persyaratan serangan: Korban perlu menjawab panggilan suara Telegram agar skenario serangan yang dilaporkan dapat berlangsung.

Rentang versi tersebut mencakup rilis yang diterbitkan sejak Maret 2022 hingga September 2026.

NebuSec melaporkan telah mengonfirmasi temuan tersebut melalui panggilan privat pada perangkat berbasis ARM64. Pada saat pengungkapan, belum terdapat bukti yang menunjukkan bahwa kerentanan yang sama dapat dieksploitasi secara langsung melalui Telegram untuk iOS, aplikasi desktop, atau panggilan grup.

The Hacker News juga menyebutkan bahwa status eksploitasi kerentanan ini dalam serangan nyata masih belum diketahui berdasarkan informasi yang tersedia ketika laporan diterbitkan.

Mitigasi dan Rekomendasi Keamanan

TangerangKota-CSIRT merekomendasikan langkah-langkah berikut untuk mengurangi risiko:

1. Perbarui Telegram untuk Android

Pastikan aplikasi Telegram telah menggunakan versi 12.10.4 atau yang lebih baru. Untuk memeriksa versi aplikasi, buka Settings pada Telegram dan lihat informasi versi yang tercantum di bagian bawah halaman pengaturan. Apabila pembaruan belum tersedia melalui mekanisme pembaruan perangkat, periksa kembali ketersediaannya melalui kanal distribusi resmi aplikasi.

2. Periksa aplikasi yang terpasang pada perangkat

Pastikan aplikasi yang digunakan berasal dari sumber resmi dan tidak menggunakan versi modifikasi yang tidak dapat dipastikan integritasnya. Terapkan pembaruan keamanan Android dan aplikasi secara berkala.

3. Tingkatkan kewaspadaan terhadap panggilan yang tidak dikenal

Hindari menjawab panggilan dari akun yang tidak dikenal apabila tidak ada kebutuhan yang jelas. Langkah ini dapat membantu mengurangi paparan terhadap skenario serangan yang memerlukan korban menjawab panggilan, tetapi bukan pengganti pembaruan aplikasi.

4. Terapkan kebijakan keamanan perangkat organisasi

Instansi dan organisasi yang mengizinkan penggunaan Telegram pada perangkat kerja perlu memastikan aplikasi berada pada versi yang telah diperbaiki. Jika perangkat dikelola melalui Mobile Device Management (MDM), administrator dapat mempertimbangkan pemeriksaan versi aplikasi dan penerapan kebijakan pembaruan sesuai kebutuhan organisasi.

5. Lakukan pemantauan terhadap indikasi kompromi

Apabila perangkat menunjukkan perilaku tidak biasa setelah menerima panggilan, pengguna sebaiknya menghentikan penggunaan perangkat tersebut untuk aktivitas sensitif dan melaporkan kejadian kepada tim TI atau tim keamanan informasi organisasi. Pemeriksaan lebih lanjut diperlukan untuk menentukan apakah benar terjadi kompromi.

Kesimpulan

Temuan NebuSec menunjukkan bahwa kesalahan dalam pemrosesan pesan internal aplikasi komunikasi dapat menimbulkan risiko keamanan yang serius. Dalam kasus ini, penyerang dilaporkan dapat memanfaatkan panggilan suara Telegram untuk menjalankan kode pada perangkat Android setelah panggilan dijawab. Telegram telah merilis perbaikan melalui versi 12.10.4. Karena itu, langkah mitigasi yang paling utama adalah memastikan aplikasi telah diperbarui dan perangkat kerja menerapkan pengelolaan aplikasi yang memadai.

Referensi:

The Hacker News. Telegram Android Flaw Lets Attackers Run Code When Users Answer Voice Calls. 29 Oktober 2026.

https://thehackernews.com/2026/10/telegram-android-flaw-lets-attackers.html

Ringkasan Kerentanan

Berdasarkan informasi dari vendor Adobe, CVE-2026-48356 merupakan jenis kerentanan unrestricted upload of file with dangerous type, yaitu kelemahan yang memungkinkan pengguna mengunggah berkas dengan tipe berbahaya tanpa pembatasan yang memadai. Apabila berhasil dimanfaatkan, penyerang dapat menjalankan kode secara sewenang-wenang dalam konteks pengguna saat ini (arbitrary code execution). Dampaknya berpotensi meningkatkan hak akses penyerang atau mengambil alih akun dan sesi korban.

Data pemantauan menunjukkan status eksploitasi berada pada kategori aktif. Meskipun kerentanan ini dinilai tidak dapat diotomasi sepenuhnya, sehingga memerlukan upaya tertentu dari penyerang, tingkat dampak teknisnya dikategorikan total. Artinya, bila eksploitasi berhasil, kerusakan yang timbul dapat menyeluruh pada sistem yang terdampak.

Produk Terdampak

• Adobe Commerce

• Magento (versi yang masih menerima dukungan dari vendor)

Organisasi yang menggunakan platform tersebut, baik untuk portal layanan publik, katalog produk, maupun kanal transaksi daring, termasuk dalam cakupan kewaspadaan. Inventarisasi aset secara menyeluruh sangat dianjurkan agar tidak ada instans yang terlewat, termasuk lingkungan uji atau staging yang terhubung ke internet.

Tingkat Keparahan

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N

Kerentanan ini memiliki skor CVSS sebesar 9.3 yang termasuk kategori kritis yang secara sederhana dapat diartikan sebagai berikut:

• AV:N (Network) — kerentanan dapat dimanfaatkan melalui jaringan, tanpa harus berada di lokasi fisik perangkat.

• AC:L (Low) — kondisi eksploitasi relatif mudah dicapai oleh penyerang.

• PR:N (None) — penyerang tidak memerlukan hak akses awal untuk memulai upaya eksploitasi.

• UI:R (Required) — diperlukan interaksi dari pengguna lain agar eksploitasi berhasil, misalnya membuka atau memproses berkas tertentu.

• S:C (Changed) — dampak dapat meluas melampaui komponen yang rentan.

• C:H / I:H (High) — potensi kebocoran kerahasiaan data dan perubahan data/integritas sistem sama-sama tinggi.

• A:N — tidak berdampak langsung pada ketersediaan layanan.

Selain itu, pemanfaatan kerentanan ini dilaporkan dalam kategori aktif, sementara keterkaitannya dengan kampanye ransomware belum diketahui secara pasti. Status tersebut cukup menjadi alasan untuk memprioritaskan perbaikan.

Tindakan yang Disarankan

1. Terapkan mitigasi sesuai instruksi vendor. Ikuti panduan resmi Adobe, termasuk ketersediaan pembaruan atau patch untuk produk Commerce dan Magento yang digunakan.

2. Selaraskan dengan arahan CISA. Penerapan mitigasi agar mengacu pada panduan CISA BOD 26-04 mengenai Prioritizing Security Updates Based on Risk, serta ketentuan Forensics Triage Requirements sebagaimana dirujuk pada catatan advisori vendor.

3. Ikuti panduan BOD 26-04 untuk layanan cloud. Bagi instans yang dijalankan di lingkungan cloud, terapkan ketentuan yang berlaku. Apabila mitigasi tidak tersedia, pertimbangkan untuk menghentikan sementara penggunaan produk.

4. Evaluasi paparan internet setiap aset. Pemangku kepentingan bertanggung jawab memastikan setiap aset dinilai tingkat keterpaparan publiknya dan mematuhi tenggat perbaikan yang ditetapkan.

5. Targetkan perbaikan sebelum 10 November 2026. Tenggat perbaikan yang dianjurkan adalah 2026-11-10, terhitung dari publikasi kerentanan pada 2026-10-27.

6. Perkuat kontrol pendukung. Batasi jenis dan ukuran berkas yang diizinkan pada formulir unggahan, terapkan validasi di sisi server, serta pantau log aktivitas unggah berkas secara berkala.

7. Lakukan pemeriksaan forensik bila dicurigai terjadi eksploitasi. Simpan bukti log dan koordinasikan penanganan insiden sesuai prosedur yang berlaku.

Kerentanan dengan skor kritis dan status eksploitasi aktif merupakan prioritas tinggi dalam pengelolaan risiko keamanan siber. Kami mengimbau seluruh perangkat daerah dan pengelola layanan untuk tidak menunda langkah mitigasi serta memastikan proses pencatatan dan pelaporan aset berjalan tertib. Apabila memerlukan pendampingan teknis, klarifikasi, atau ingin melaporkan indikasi insiden terkait kerentanan ini, silakan menghubungi CSIRT Pemerintah Kota Tangerang melalui kanal resmi yang tersedia. Kolaborasi dan pelaporan dini sangat membantu dalam menjaga keamanan layanan publik bersama.

Ringkasan Kerentanan

CVE-2026-111497 merupakan kerentanan unchecked return value pada Google Brotli. Pustaka ini banyak digunakan secara luas, baik pada server web, layanan Application Programming Interface (API), perangkat antara (middleware), hingga aplikasi klien, untuk mengompresi data agar transmisi menjadi lebih efisien.

Masalah muncul karena nilai kembalian (return value) dari suatu fungsi tidak diperiksa dengan benar. Akibatnya, penyerang jarak jauh yang tidak terautentikasi dapat mengirimkan stream terkompresi Brotli yang dibuat secara khusus (crafted) untuk memicu kondisi berikut:

• Merusak state memori dekoder di sekitarnya (corrupt adjacent decoder state memory).

• Membocorkan isi memori yang bersifat sensitif.

• Menyebabkan kegagalan layanan atau denial of service.

• Berpotensi memungkinkan eksekusi kode secara sewenang-wenang (arbitrary code execution).

Perlu ditekankan bahwa penyerang tidak memerlukan kredensial atau autentikasi apa pun. Selama suatu layanan menerima dan memproses data terkompresi Brotli dari pengguna, layanan tersebut berpotensi menjadi sasaran. Karena itu, paparan terhadap internet perlu dievaluasi secara cermat pada setiap aset.

Produk Terdampak

Berdasarkan data yang tersedia, produk yang terdampak adalah Google Brotli dari vendor Google. Karena Brotli merupakan pustaka kompresi yang sangat umum digunakan dan sering tertanam (embedded) di dalam produk lain, dampak tidak terbatas pada satu aplikasi saja. Organisasi disarankan menelusuri seluruh komponen, baik yang dikembangkan sendiri maupun pihak ketiga, yang menggunakan Brotli untuk kompresi data, termasuk pada perangkat keras jaringan, perangkat lunak server, dan aplikasi berbasis web.

Tingkat Keparahan

Kerentanan ini dikategorikan sebagai KRITIS dengan skor CVSS 9.2 menggunakan standar penilaian CVSS v4.0 dan vektor:

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Makna dari vektor tersebut antara lain:

• AV:N (Attack Vector: Network) — dapat dieksploitasi dari jaringan jarak jauh.

• AC:L (Attack Complexity: Low) — kompleksitas serangan rendah, tidak memerlukan kondisi khusus yang rumit.

• PR:N (Privileges Required: None) — penyerang tidak memerlukan hak akses apa pun.

• UI:N (User Interaction: None) — tidak diperlukan interaksi dari pengguna korban.

• VC:H, VI:H, VA:H — dampak tinggi terhadap kerahasiaan, integritas, dan ketersediaan sistem.

Data juga mencatat bahwa dampak teknis bersifat total dan status eksploitasi adalah aktif, sehingga risiko nyata di lapangan tidak dapat diabaikan. Status penggunaan ransomware untuk kerentanan ini belum diketahui (unknown). Kerentanan dipublikasikan pada 27 Oktober 2026, dengan tenggat perbaikan pada 10 November 2026.

Tindakan yang Disarankan

Mengingat tingkat keparahan dan status eksploitasinya, langkah-langkah berikut perlu segera dilakukan oleh seluruh perangkat daerah dan pengelola sistem:

1. Terapkan mitigasi sesuai instruksi vendor. Ikuti panduan resmi dari Google sebagai pemasok produk dan pastikan pembaruan dilakukan sesuai prosedur yang berlaku.

2. Patuhi CISA BOD 26-04. Penanganan kerentanan ini harus mengacu pada Prioritizing Security Updates Based on Risk (BOD 26-04), termasuk ketentuan Forensics Triage Requirements yang dirujuk pada catatan resmi terkait.

3. Ikuti panduan BOD 26-04 untuk layanan cloud. Apabila mitigasi tidak tersedia, pertimbangkan untuk menghentikan penggunaan produk yang terdampak sampai perbaikan dapat diterapkan.

4. Evaluasi paparan internet setiap aset. Pemangku kepentingan bertanggung jawab menilai tingkat keterpaparan masing-masing aset dan memastikan kepatuhan terhadap pedoman penambalan (patching) BOD 26-04.

5. Selesaikan perbaikan sebelum tenggat. Targetkan penambalan selesai paling lambat 10 November 2026, dengan prioritas utama pada sistem yang dapat diakses langsung dari internet.

6. Perkuat pemantauan dan segmentasi. Pantau lalu lintas yang tidak wajar menuju layanan yang memproses data kompresi, terapkan pembatasan akses berbasis kebutuhan, dan pastikan tersedia pencadangan (backup) serta prosedur pemulihan yang teruji.

7. Lakukan inventarisasi komponen. Identifikasi seluruh perangkat lunak dan perangkat yang menggunakan pustaka Brotli, termasuk yang tertanam dalam produk pihak ketiga yang mungkin belum menyediakan pembaruan.

CSIRT Pemerintah Kota Tangerang mengimbau seluruh perangkat daerah untuk tidak menunda penanganan kerentanan ini. Apabila Anda menemukan indikasi eksploitasi, membutuhkan pendampingan teknis, atau ingin berkonsultasi mengenai langkah mitigasi yang sesuai dengan kondisi infrastruktur instansi, silakan menghubungi CSIRT Pemerintah Kota Tangerang melalui kanal komunikasi resmi yang tersedia. Pelaporan dini sangat membantu proses penanganan dan meminimalkan dampak terhadap layanan publik.

PHP2Shell adalah sebutan untuk dua kerentanan kritis di PHP yang memungkinkan penyerang menjalankan kode dari jarak jauh. Menurut analisis Datadog, eksploitasi memanfaatkan cara PHP memproses nama field pada form: penyerang mengirim nama field berukuran tertentu agar proses penyalinan di memori melampaui batas memory_limit pada saat yang tepat, sehingga memicu kegagalan alokasi memori. Untuk berhasil, penyerang juga harus melewati perlindungan ASLR.

PHP Foundation telah merilis patch darurat untuk kedua kerentanan ini. PHP Foundation juga memperingatkan adanya kerentanan RCE ketiga (CVE-2026-115560) yang hanya dapat terjadi pada kombinasi konfigurasi dan kode aplikasi yang tidak lazim. Perbaikannya dijadwalkan dalam siklus rilis reguler.

Serangan terhadap instansi pemerintah di Eropa

Unit 42 (Palo Alto Networks) melaporkan bahwa dalam kurun dua jam setelah eksploitasi awal, penyerang berhasil mengakses password hash dan secret autentikasi multi-faktor (MFA) pada sebuah instansi pemerintah di Eropa. Penyerang juga membangun terowongan NTLM-relay ke Active Directory dan mencoba meningkatkan hak akses hingga Domain Admin. Aktivitas ini mencakup pengintaian database autentikasi, kueri LDAP anonim ke domain controller, serta pengintaian host dan grup berprivilese.

Pemindaian global dan dugaan kampanye terarah

CYFIRMA melaporkan dugaan kampanye yang menggunakan PHP2Shell untuk memindai infrastruktur PHP dari 21 node yang telah dikompromi. Pemindaian dilakukan dengan volume rendah dan bergantian antar node, sehingga sulit terdeteksi oleh peringatan berbasis ambang batas. Sebanyak 216 host yang belum di-patch atau baru termitigasi sebagian teridentifikasi sebagai target, tersebar di Amerika Serikat, Jepang, Korea Selatan, Thailand, Indonesia, Australia, Taiwan, India, Singapura, Uni Emirat Arab, Arab Saudi, dan Uni Eropa. Sektor yang disasar meliputi pemerintahan, lembaga keuangan, logistik, bandara dan penerbangan, manufaktur, serta platform transaksi online.

CYFIRMA mengaitkan aktivitas ini dengan tingkat keyakinan sedang (moderate confidence) pada operator berbahasa Korea yang diduga terkait ekosistem Lazarus Group.

Probe dan percobaan eksploitasi lainnya

Defused Cyber melihat probe PHP2Shell ke honeypot GlobalProtect milik Palo Alto Networks dari alamat IP yang sudah dikenal sebagai sumber eksploitasi massal. Cloudflare juga melaporkan jutaan percobaan eksploitasi setelah kerentanan ini diungkap ke publik.

Mengapa Perlu Diwaspadai?

• Cakupan luas. Bitsight memperkirakan hampir 37 juta sistem yang terhubung ke internet menjalankan PHP atau perangkat lunak berbasis PHP, mulai dari CMS dan toko online hingga aplikasi internal buatan sendiri.

• Dampak lanjutan besar. Pada kasus di Eropa, satu celah di aplikasi web berkembang menjadi pencurian kredensial dan upaya pengambilalihan Active Directory dalam hitungan jam.

• Indonesia dan sektor pemerintahan masuk dalam daftar target yang disebutkan peneliti. Organisasi di sektor dan wilayah tersebut sebaiknya mengasumsikan dirinya termasuk dalam cakupan pemindaian.

• Perbaikan harus di level PHP. Menurut Bitsight, perubahan kode aplikasi, WAF, atau pembaruan plugin tidak menutup celah ini. Hanya pembaruan PHP pada host yang menutupnya.

   

Catatan Kehati-hatian

Beberapa hal dalam pemberitaan masih bersifat dugaan dan perlu dibaca dengan hati-hati:

• Dugaan penggunaan agentic AI oleh penyerang didasarkan pada pola perintah dan format output yang mudah dibaca mesin. Ini indikator perilaku, bukan bukti langsung.

• Atribusi ke Lazarus Group berasal dari satu vendor dan berstatus moderate confidence. Atribusi tidak seharusnya menjadi dasar keputusan teknis. Patching dan deteksi perlu dilakukan terlepas dari siapa pelakunya.

• Rincian teknis dan nomor versi PHP yang sudah diperbaiki perlu dipastikan langsung pada pengumuman resmi PHP.

   

Rekomendasi

1. Inventarisasi aset PHP yang terhubung ke internet, termasuk aplikasi web, CMS, dan layanan yang berjalan di container.

2. Perbarui PHP ke versi yang memuat perbaikan sesuai pengumuman resmi PHP Foundation. Untuk aplikasi yang berjalan di Docker, image harus di-rebuild dan di-redeploy. Memperbarui dependensi aplikasi saja tidak cukup.

3. Terapkan mitigasi sementara bila patch belum dapat dipasang, mengikuti rekomendasi resmi PHP Foundation dan vendor terkait. WAF dapat menjadi lapisan tambahan, tetapi bukan pengganti patch.

4. Pantau log untuk pola yang dilaporkan ReliaQuest: permintaan POST yang menghasilkan respons 500, diikuti error memory exhaustion atau heap corruption pada log PHP, dan crash pada worker Apache yang menangani permintaan tersebut. Perhatikan juga pemindaian berfrekuensi rendah dari banyak sumber berbeda.

5. Perkuat Active Directory. Batasi atau nonaktifkan kueri LDAP anonim, aktifkan SMB signing dan LDAP signing untuk mengurangi risiko NTLM relay, serta pantau aktivitas pengintaian terhadap domain controller.

6. Jika ada indikasi kompromi: isolasi sistem, ganti kredensial yang mungkin terekspos, reset secret MFA, dan laporkan insiden kepada CSIRT melalui kanal resmi.

    

Sumber

• The Hacker News, "PHP2Shell Exploitation Hits Government Entity Amid Global Scanning and Signs of AI-Assisted Hacking", 25 Oktober 2026: https://thehackernews.com/2026/10/php2shell-exploitation-hits-government.html

• Unit 42, Palo Alto Networks: https://unit42.paloaltonetworks.com/cve-2026-109618-cve-2026-109619/

• CYFIRMA Threat Advisory: https://www.cyfirma.com/research/cyfirma-threat-advisory-suspected-dprk-campaign-staging-php2shell-targeting-against-global-php-infrastructure/

• Datadog Security Labs: https://securitylabs.datadoghq.com/articles/php2shell-critical-vulnerabilities-in-php/

• ReliaQuest: https://reliaquest.com/blog/threat-spotlight-php2shell-responding-to-critical-php-vulnerabilities/

• Bitsight: https://www.bitsight.com/groma-explorer/php/phpApa itu PHP2Shell?

• PHP2Shell adalah sebutan untuk dua kerentanan kritis di PHP yang memungkinkan penyerang menjalankan kode dari jarak jauh. Menurut analisis Datadog, eksploitasi memanfaatkan cara PHP memproses nama field pada form: penyerang mengirim nama field berukuran tertentu agar proses penyalinan di memori melampaui batas memory_limit pada saat yang tepat, sehingga memicu kegagalan alokasi memori. Untuk berhasil, penyerang juga harus melewati perlindungan ASLR.

• PHP Foundation telah merilis patch darurat untuk kedua kerentanan ini. PHP Foundation juga memperingatkan adanya kerentanan RCE ketiga (CVE-2026-115560) yang hanya dapat terjadi pada kombinasi konfigurasi dan kode aplikasi yang tidak lazim. Perbaikannya dijadwalkan dalam siklus rilis reguler.

   

Serangan terhadap instansi pemerintah di Eropa

Unit 42 (Palo Alto Networks) melaporkan bahwa dalam kurun dua jam setelah eksploitasi awal, penyerang berhasil mengakses password hash dan secret autentikasi multi-faktor (MFA) pada sebuah instansi pemerintah di Eropa. Penyerang juga membangun terowongan NTLM-relay ke Active Directory dan mencoba meningkatkan hak akses hingga Domain Admin. Aktivitas ini mencakup pengintaian database autentikasi, kueri LDAP anonim ke domain controller, serta pengintaian host dan grup berprivilese.

CYFIRMA melaporkan dugaan kampanye yang menggunakan PHP2Shell untuk memindai infrastruktur PHP dari 21 node yang telah dikompromi. Pemindaian dilakukan dengan volume rendah dan bergantian antar node, sehingga sulit terdeteksi oleh peringatan berbasis ambang batas. Sebanyak 216 host yang belum di-patch atau baru termitigasi sebagian teridentifikasi sebagai target, tersebar di Amerika Serikat, Jepang, Korea Selatan, Thailand, Indonesia, Australia, Taiwan, India, Singapura, Uni Emirat Arab, Arab Saudi, dan Uni Eropa. Sektor yang disasar meliputi pemerintahan, lembaga keuangan, logistik, bandara dan penerbangan, manufaktur, serta platform transaksi online. CYFIRMA mengaitkan aktivitas ini dengan tingkat keyakinan sedang (moderate confidence) pada operator berbahasa Korea yang diduga terkait ekosistem Lazarus Group.

Defused Cyber melihat probe PHP2Shell ke honeypot GlobalProtect milik Palo Alto Networks dari alamat IP yang sudah dikenal sebagai sumber eksploitasi massal. Cloudflare juga melaporkan jutaan percobaan eksploitasi setelah kerentanan ini diungkap ke publik.

Mengapa Perlu Diwaspadai?

• Cakupan luas. Bitsight memperkirakan hampir 37 juta sistem yang terhubung ke internet menjalankan PHP atau perangkat lunak berbasis PHP, mulai dari CMS dan toko online hingga aplikasi internal buatan sendiri.

• Dampak lanjutan besar. Pada kasus di Eropa, satu celah di aplikasi web berkembang menjadi pencurian kredensial dan upaya pengambilalihan Active Directory dalam hitungan jam.

• Indonesia dan sektor pemerintahan masuk dalam daftar target yang disebutkan peneliti. Organisasi di sektor dan wilayah tersebut sebaiknya mengasumsikan dirinya termasuk dalam cakupan pemindaian.

• Perbaikan harus di level PHP. Menurut Bitsight, perubahan kode aplikasi, WAF, atau pembaruan plugin tidak menutup celah ini. Hanya pembaruan PHP pada host yang menutupnya.

Rekomendasi

• Inventarisasi aset PHP yang terhubung ke internet, termasuk aplikasi web, CMS, dan layanan yang berjalan di container.

• Perbarui PHP ke versi yang memuat perbaikan sesuai pengumuman resmi PHP Foundation. Untuk aplikasi yang berjalan di Docker, image harus di-rebuild dan di-redeploy. Memperbarui dependensi aplikasi saja tidak cukup.

• Terapkan mitigasi sementara bila patch belum dapat dipasang, mengikuti rekomendasi resmi PHP Foundation dan vendor terkait. WAF dapat menjadi lapisan tambahan, tetapi bukan pengganti patch.

• Pantau log untuk pola yang dilaporkan ReliaQuest: permintaan POST yang menghasilkan respons 500, diikuti error memory exhaustion atau heap corruption pada log PHP, dan crash pada worker Apache yang menangani permintaan tersebut. Perhatikan juga pemindaian berfrekuensi rendah dari banyak sumber berbeda.

• Perkuat Active Directory. Batasi atau nonaktifkan kueri LDAP anonim, aktifkan SMB signing dan LDAP signing untuk mengurangi risiko NTLM relay, serta pantau aktivitas pengintaian terhadap domain controller.

• Jika ada indikasi kompromi: isolasi sistem, ganti kredensial yang mungkin terekspos, reset secret MFA, dan laporkan insiden kepada CSIRT melalui kanal resmi.

Sumber

• The Hacker News, "PHP2Shell Exploitation Hits Government Entity Amid Global Scanning and Signs of AI-Assisted Hacking", 25 Oktober 2026: https://thehackernews.com/2026/10/php2shell-exploitation-hits-government.html

• Unit 42, Palo Alto Networks: https://unit42.paloaltonetworks.com/cve-2026-109618-cve-2026-109619/

• CYFIRMA Threat Advisory: https://www.cyfirma.com/research/cyfirma-threat-advisory-suspected-dprk-campaign-staging-php2shell-targeting-against-global-php-infrastructure/

• Datadog Security Labs: https://securitylabs.datadoghq.com/articles/php2shell-critical-vulnerabilities-in-php/

• ReliaQuest: https://reliaquest.com/blog/threat-spotlight-php2shell-responding-to-critical-php-vulnerabilities/

• Bitsight: https://www.bitsight.com/groma-explorer/php/php

Menariknya, bug ini bukan terletak di KVM atau hypervisor tertentu, melainkan di lapisan networking Linux sendiri,  tepatnya pada mekanisme checksum offload yang dipakai luas di hampir semua platform cloud dan virtualisasi berbasis KVM. Karena sifatnya yang mendasar di level kernel, kerentanan ini berpotensi memengaruhi banyak hypervisor dan platform sandbox, bukan cuma satu vendor saja. Vercel sendiri menyebut temuan ini sebagai laporan paling signifikan dari seluruh program bug bounty mereka.

Cara Kerja Kerentanan (Ringkas)

Linux memakai mekanisme checksum offload, di mana checksum sebuah paket jaringan tidak langsung dihitung, tapi "dijanjikan" akan dihitung belakangan oleh kernel atau hardware. Metadata yang menyimpan janji ini (csum_start, csum_offset) berasal dari paket itu sendiri, termasuk paket yang dikirim dari dalam VM guest.

Masalahnya, kernel sempat memvalidasi dan memproses header IPv4 sebuah paket (menganggapnya berukuran 20 byte, header standar) sebelum checksum yang "dijanjikan" tadi benar-benar ditulis belakangan. Saat penulisan checksum itu terjadi, ia bisa mengubah byte pertama header termasuk field IHL (Internet Header Length) sehingga paket yang tadinya dianggap berheader 20 byte, tiba-tiba "berubah" dianggap berheader 60 byte oleh proses berikutnya (fragmentasi output).

Akibatnya, kernel ikut menyalin 40 byte tambahan sebagai bagian dari header, padahal sebagian dari byte tersebut bukan bagian dari paket aslinya, melainkan 32 byte memori milik host yang bocor ke paket yang dikirim keluar. Dalam riset terkontrol, bocoran ini kemudian dikembangkan lebih lanjut menjadi kemampuan menulis ke memori kernel host secara selektif, hingga akhirnya berhasil mengeksekusi perintah di level host (root). Namun ini dibuktikan di lab milik peneliti sendiri, bukan lingkungan produksi pihak ketiga.

Status Eksploitasi

Berdasarkan status page Akamai/Linode per 15 Oktober 2026, belum ditemukan bukti eksploitasi aktif di lapangan. Namun perlu dicatat beberapa hal:

• Bukti guest-to-host escape yang dipublikasikan dibuktikan di lab milik peneliti sendiri (disposable/owned hosts), bukan di infrastruktur produksi pihak ketiga.

• Karena CVE dan detail teknisnya sudah dipublikasikan secara terbuka, tim pwn.ai sendiri memperkirakan exploit untuk konfigurasi yang lemah bisa muncul dalam hitungan minggu, dan untuk konfigurasi default hypervisor dalam waktu kurang dari sebulan sejak publikasi ini perkiraan risiko, bukan laporan kejadian nyata.

• Exploit dasarnya (bagian disclosure/pembacaan memori) relatif sederhana cukup mengirim paket sekecil 28 byte dari dalam VM sehingga risiko reproduksi oleh pihak lain tergolong tinggi begitu detail lengkap tersebar luas.

Sistem dan Versi yang Terdampak

Yang TIDAK terdampak: Windows dan macOS karena ini hanya bug di kernel Linux, bukan di KVM itu sendiri maupun hypervisor non-Linux. Syarat eksploitasi juga mengharuskan penyerang sudah memiliki kemampuan menjalankan kode di dalam sebuah VM guest terlebih dahulu (bukan serangan dari luar tanpa akses apa pun).

Status Patch Khusus Proxmox VE

Berdasarkan thread resmi di forum komunitas Proxmox (dijawab langsung oleh staf Proxmox), berikut poin pentingnya:

• Fix untuk kerentanan ini masuk ke paket proxmox-kernel-7.0.14-24-pve(-signed). Versi -24 ini menggantikan varian patch awal yang sebelumnya sudah disisipkan di changelog rilis -22 (6 Oktober 2026), sebelum CVE resmi diumumkan (15 Oktober 2026).

• Patch tersedia lebih dulu di repository pve-no-subscription, kemudian menyusul ke repository enterprise beberapa hari kemudian (sekitar 17 Oktober 2026 menurut laporan pengguna di thread tersebut).

• Hanya seri kernel 7.0.x yang masih didukung yang mendapat patch ini. Proxmox menegaskan tidak akan ada update untuk seri kernel yang sudah EOL (contoh yang disebut dalam thread: 5.4.x, 5.15.x, dan 6.8.x versi lama) maupun untuk rilis produk Proxmox VE yang sudah tidak didukung resmi.

• Reboot host wajib dilakukan karena ini merupakan patch di level kernel, bukan patch paket userspace biasa, sehingga tidak bisa diterapkan tanpa restart. Staf Proxmox menyarankan, bagi yang punya cluster multi-node, untuk memindahkan (migrate) workload ke node lain sebelum dan sesudah reboot agar downtime minim.

• Sempat muncul laporan bahwa driver NVIDIA (versi 615.78.08) gagal kompilasi di kernel baru ini (error terkait field cxlds). Antisipasi diperlukan bagi yang memakai GPU passthrough NVIDIA sebelum melakukan upgrade massal.

• Live kernel patching sempat dibahas sebagai alternatif menghindari reboot, namun pembahasan di forum menyimpulkan ini bukan solusi universal. Tetap ada downtime (walau lebih kecil) dan biasanya hanya menutup sebagian kerentanan, bukan semuanya.

Rekomendasi Mitigasi

1. Cek versi kernel host segera: jalankan uname -r di setiap node hypervisor (Proxmox, OpenNebula, atau self-managed KVM lainnya).

2. Untuk Proxmox VE: upgrade ke proxmox-kernel-7.0.14-24-pve atau lebih baru. Jika masih memakai seri kernel 5.4.x, 5.15.x, atau 6.8.x lama yang EOL, satu-satunya jalan adalah upgrade mayor ke rilis Proxmox VE yang masih didukung, tidak ada backport untuk seri EOL.

3. Untuk OpenNebula atau self-managed KVM lain: cek distribusi Linux dan kernel yang dipakai, pastikan sudah menerima backport fix ip_check_csum_start (commit 6785011f8b16) dari vendor distro masing-masing (Debian, Ubuntu, RHEL/CentOS, dst).

4. Jadwalkan reboot sesegera mungkin karena patch ini tidak efektif sebelum kernel baru benar-benar berjalan. Untuk lingkungan cluster, manfaatkan live migration ke node lain agar workload tidak terganggu saat reboot.

5. Jika memakai GPU passthrough (terutama driver NVIDIA versi lama), uji kompatibilitas driver dulu di lingkungan non-produksi sebelum rollout massal, karena ada laporan kegagalan kompilasi driver di kernel yang sudah di-patch.

6. Prioritaskan host yang menjalankan VM/workload dari sumber tidak terpercaya (multi-tenant, sandbox, CI/CD runner publik, dsb.). Skenario ini yang paling berisiko karena syarat eksploitasi memang membutuhkan kemampuan menjalankan kode dari dalam guest.

7. Jika menyewa VM di provider cloud/VPS pihak ketiga (bukan mengelola host sendiri), konfirmasi ke provider apakah host mereka sudah di-patch sebab risiko ada di sisi mereka, bukan di VM Anda secara langsung.

8. Pantau log dan aktivitas jaringan dari guest VM yang mencurigakan: paket IPv4 dengan fragmentasi tidak wajar, crash host yang tidak biasa setelah traffic dari VM tertentu, bisa jadi indikasi percobaan eksploitasi.

Referensi

• PwnEscape: Guest-to-Host KVM Escape (CVE-2026-99999) — pwn.ai Research, Paulos Yibelo, 15 Oktober 2026 (sumber riset utama)

• Linux upstream fix commit 6785011f8b16

• CVE-2026-99999 or the Vercel KVM Zero-Day — Forum Komunitas Proxmox (thread resmi dengan jawaban staf Proxmox)

• Critical Linux kernel vulnerability leads to full KVM escape — Cybernews

• Linux kernel gets a fix for a flaw that enabled attackers to escape VMs — CSOonline

• Status page insiden Akamai/Linode terkait CVE-2026-99999, 15 Oktober 2026

Kemampuan dan Model Bisnis Spyware

Sebuah dokumen proposal proyek Candiru yang pernah bocor ke media menunjukkan bahwa spyware mereka dapat dipasang lewat berbagai vektor seperti tautan berbahaya, serangan man-in-the-middle, hingga akses fisik ke perangkat. Salah satu vektor bernama "Sherlock" diklaim bekerja di Windows, iOS, dan Android, kemungkinan berupa eksploitasi zero-click berbasis browser.

Seperti vendor spyware sejenis, Candiru melisensikan produknya berdasarkan jumlah infeksi aktif yang bisa dipantau bersamaan, dan membatasi penggunaan ke negara-negara yang disetujui dalam kontrak. Dalam satu proposal senilai €16 juta, paket dasar mencakup pemantauan 10 perangkat sekaligus; penambahan €1,5 juta menambah kapasitas 15 perangkat dan satu negara target tambahan; penambahan €5,5 juta menambah 25 perangkat dan lima negara lagi. Kontrak mencantumkan daftar negara terlarang untuk dijadikan target termasuk AS, Rusia, Cina, Israel, dan Iran meski Microsoft tetap menemukan korban di Iran, menunjukkan pembatasan ini tidak selalu dipatuhi.

Fitur yang ditawarkan mencakup pencurian data dari Gmail, Skype, Telegram, dan Facebook, riwayat penjelajahan dan kata sandi tersimpan, pengaktifan kamera dan mikrofon diam-diam, serta pengambilan tangkapan layar. Kemampuan mengekstrak data dari Signal dijual sebagai fitur tambahan berbayar. Fitur paling mengkhawatirkan adalah remote shell senilai tambahan €1,5 juta yang memberi operator kendali penuh untuk menjalankan perintah atau program apa pun di perangkat target, termasuk kemungkinan menanam bukti palsu.

Temuan Teknis: Mekanisme Persistensi

Tim Citizen Lab memperoleh citra hard-disk dari komputer seorang individu aktivis politik di Eropa Barat yang dicurigai terinfeksi, dengan bantuan data telemetri dari Team Cymru dan mitra masyarakat sipil. Dari situ, mereka berhasil mengekstrak salinan spyware Candiru untuk Windows. Spyware ini bertahan di sistem lewat teknik COM hijacking. Teknik ini bekerja dengan memodifikasi registry key Windows yang semestinya menunjuk ke file sistem sah (wmiutils.dll) agar justru memuat DLL berbahaya yang disamarkan di folder sistem terkait input method Jepang (IMEJP). Saat Windows boot dan memuat layanan Windows Management Instrumentation, DLL jahat ini ikut dimuat secara otomatis.

HKEY_LOCAL_MACHINESoftwareClassesCLSID{CF4CC405-E2C5-4DDD-B3CE-5E7582D8C9FA}InprocServer32

DLL ini menyimpan beberapa blob data terenkripsi AES yang didekripsi secara berlapis: pertama memuat file konfigurasi awal, lalu file kedua yang di dalamnya berisi sembilan blob terenkripsi lagi. Empat di antaranya adalah DLL resmi Microsoft Visual C++ Redistributable (disamarkan sebagai kamuflase), dan sisanya komponen inti spyware. File konfigurasi akhir dalam format JSON berisi alamat server command-and-control (C&C) yang terenkode Base64.

# C2 Server yang terdeteksi
https://msstore[.]io
https://adtracker[.]link
https://cdnmobile[.]io

Dari segi fungsi, spyware ini mampu mengekstrak file, mengekspor seluruh riwayat percakapan dari aplikasi Signal versi Windows, serta mencuri cookie dan kata sandi dari browser Chrome, Internet Explorer, Firefox, Safari, dan Opera. Microsoft turut menemukan bahwa spyware ini bisa mengirim pesan langsung dari akun email dan media sosial yang sedang login di perangkat korban dan membuka potensi penyalahgunaan untuk menyebar tautan berbahaya atau menjebak korban secara hukum.

Pemetaan Infrastruktur Command-and-Control

Tim peneliti mengembangkan empat "sidik jari" (fingerprint) teknis dan teknik pemindaian internet baru untuk mengidentifikasi situs-situs yang dipakai infrastruktur Candiru. Dengan menelusuri data historis dari layanan pemindaian internet Censys serta pemindaian mandiri sepanjang 2021, mereka mengidentifikasi setidaknya 764 nama domain yang dinilai dengan keyakinan sedang-tinggi terkait Candiru dan kliennya. Analisis domain menunjukkan indikasi minat target di kawasan Asia, Eropa, Timur Tengah, dan Amerika Utara, dengan kemungkinan sistem operasional yang dijalankan dari Arab Saudi, Israel, UEA, Hungaria, dan Indonesia.

Titik awal investigasi ini adalah kesalahan operasional keamanan (OPSEC) Candiru sendiri: sebuah sertifikat TLS self-signed yang ditemukan di Censys ternyata memuat alamat email yang terasosiasi dengan domain candirusecurity[.]com, yang kemudian berhasil dikaitkan langsung ke Candiru Ltd melalui data registrasi domain lain dan nomor faks perusahaan. Dari satu sertifikat ini, peneliti melacak rantai sertifikat dan alamat IP terkait, membangun beberapa sidik jari TLS/HTTP tambahan untuk memetakan infrastruktur yang lebih luas, termasuk pola unik di mana Candiru tampak menggunakan generator nama palsu otomatis untuk sertifikat TLS mereka.

Tim juga menemukan keterkaitan infrastruktur Candiru dengan kit eksploitasi CHAINSHOT yang sebelumnya dilaporkan terhubung ke kelompok peretas Stealth Falcon asal UEA, serta dengan dua kerentanan zero-day Chrome dan satu kerentanan Microsoft Office yang diungkap Google Threat Analysis Group pada Juli 2021.

Target dan Tema Penyamaran Domain

Analisis tema domain memberi petunjuk mengenai kemungkinan lokasi dan minat target operator Candiru. Beberapa tema paling mencolok terkait erat dengan isu masyarakat sipil dan aktivitas politik sejalan dengan temuan Microsoft bahwa korban banyak berasal dari kalangan akademisi, media, dan pegiat masyarakat sipil.

Contoh domain yang ditemukan menyamar sebagai: media internasional (meniru CNN, Deutsche Welle, Euronews, France 24), organisasi advokasi (meniru Amnesty International, gerakan Black Lives Matter, Refugees International), isu kajian gender, perusahaan teknologi besar (Microsoft, Google, Apple, Dropbox, Zoom), platform media sosial (LinkedIn, Facebook, Instagram, Twitter), serta organisasi internasional (PBB, WHO).

Sejumlah domain juga tampak menyasar negara tertentu secara spesifik termasuk sebuah domain (indoprogress[.]co) yang meniru nama publikasi progresif asal Indonesia. Domain serupa ditemukan menyamar sebagai layanan pos Rusia, media berbahasa Inggris di Iran dan Armenia, media Turki dan Slovenia, serta situs kampanye yang mendukung kasus Jamal Khashoggi terkait Arab Saudi. Peneliti menekankan tema-tema ini lebih mencerminkan kemungkinan lokasi target, bukan negara asal operator.

Kesimpulan dan Implikasi

Skala dan jangkauan infrastruktur Candiru, serta penggunaan teknologi pengintaiannya terhadap kalangan masyarakat sipil global, menjadi pengingat bahwa industri spyware bayaran memiliki banyak pemain dan rentan disalahgunakan secara luas. Tanpa pengawasan internasional yang kuat atau kontrol ekspor pemerintah yang ketat, vendor spyware akan terus menjual produknya ke klien pemerintah yang kerap menyalahgunakannya — khususnya negara dengan rekam jejak HAM buruk dan pengawasan domestik yang lemah terhadap lembaga keamanannya.

Penargetan individu semata karena keyakinan dan aktivitas politiknya yang bukan bersifat teroris maupun kriminal menjadi indikator yang meresahkan. Temuan independen Microsoft turut mengonfirmasi sedikitnya 100 korban meliputi politisi, aktivis HAM, jurnalis, akademisi, staf kedutaan, dan pembangkang politik.

Laporan ini juga menyoroti bahwa klaim vendor spyware soal produk "tak terlacak" terbukti berulang kali keliru. Peneliti independen tetap mampu mendeteksi dan mengungkap operasi pengintaian bertarget lewat berbagai teknik pemantauan jaringan dan investigasi digital, sebagaimana ditunjukkan laporan ini dan laporan-laporan serupa sebelumnya. Hal ini menegaskan pentingnya kolaborasi lintas komunitas dari peneliti akademik, tim pertahanan jaringan, analis ancaman siber, dan platform teknologi dalam mengungkap dan menanggulangi dampak industri spyware bayaran terhadap masyarakat sipil global.

Sumber

• Hooking Candiru: Another Mercenary Spyware Vendor Comes into Focus — Citizen Lab, Report No. 139, University of Toronto, Juli 2021

• Microsoft: Protecting customers from a private sector offensive actor using 0-day exploits and DevilsTongue malware — Microsoft Security Blog, 15 Juli 2021

Halaman ini adalah ringkasan dan adaptasi dalam Bahasa Indonesia untuk kebutuhan internal/edukasi. Untuk kutipan tepat, tabel data lengkap, dan detail teknis forensik, silakan rujuk laporan asli Citizen Lab.

Pernah menerima pesan yang meminta kamu melakukan update data dengan alasan akun akan dinonaktifkan atau diblokir jika tidak segera diperbarui?

Jangan buru-buru klik link-nya! Bisa jadi itu adalah modus phishing, yaitu penipuan digital yang bertujuan mencuri data pribadi, password, hingga kode OTP.

Pelaku bisa menggunakan nama instansi pemerintah agar pesannya terlihat resmi dan meyakinkan. Padahal, tautan yang diberikan bisa mengarah ke situs palsu yang dirancang untuk mengambil informasi kamu.

Sebelum bertindak, ingat 5 hal ini:
🔹 Jangan asal klik tautan.
🔹 Jangan memberikan password atau kode OTP.
🔹 Periksa alamat situs dan sumber pesan.
🔹 Verifikasi informasi melalui kanal resmi KOMDIGI.
🔹 Laporkan jika menemukan indikasi penipuan.

Ingat, tampilan pesan yang meyakinkan belum tentu membuktikan bahwa pesan tersebut asli

Peneliti keamanan watchTowr mengonfirmasi bahwa kebocoran tersebut nyata dan menyangkut dua kerentanan eksekusi kode jarak jauh (RCE) pada PHP yang sebelumnya berada di bawah embargo. Perusahaan riset keamanan Previdian disebut turut berhasil mereproduksi kerentanan tersebut. PHP Foundation kemudian secara resmi mengumumkan rencana rilis darurat agar tidak keduluan dieksploitasi di lapangan.

Fakta Resmi Terkonfirmasi

Berdasarkan pengumuman resmi di situs php.net (20 Oktober 2026):

• PHP Security Team memberi notifikasi awal mengenai rilis keamanan mendatang.

• Rilis dijadwalkan Rabu, 21 Oktober 2026 pukul 14:00 UTC atau 21:00 WIB.

• Rilis ini menangani dua kerentanan kritis, masing-masing diberi skor CVSS v4.0 sebesar 9.2.

• Tim berhak mempercepat rilis apabila detail salah satu kerentanan terungkap ke publik, atau jika ditemukan bukti eksploitasi aktif di lapangan dan ini sudah terjadi (kebocoran).

• Detail teknis lengkap, versi yang terdampak, dan versi yang diperbaiki akan dipublikasikan bersamaan dengan rilis patch, bukan sebelumnya.

• Semua pengguna PHP dihimbau bersiap sejak dini agar dapat langsung melakukan upgrade begitu rilis tersedia.

Informasi dari Kebocoran belum Dikonfirmasi Resmi

Informasi berikut berasal dari watchTowr dan sumber yang bocor (termasuk sebuah unggahan di Hacker News yang kemudian dihapus), bukan dari pengumuman resmi PHP Security Team. Perlakukan sebagai indikasi awal, bukan kepastian:

• Nomor CVE yang beredar: CVE-2026-109618 dan CVE-2026-109619 disebut oleh watchTowr dan cocok dengan nomor pada unggahan Hacker News yang bocor. Ini belum dikonfirmasi langsung oleh PHP Security Team pada pengumuman resminya.

• Perbedaan skor CVSS: watchTowr dan sumber bocoran menyebut skor CVSS 10.0 (skor maksimum), sementara pengumuman resmi PHP menyebut CVSS v4.0 9.2. Ada kemungkinan perbedaan ini berasal dari metodologi penilaian yang berbeda, atau estimasi awal yang kemudian direvisi.

• Versi yang diklaim terdampak: watchTowr menyebut kerentanan ini memengaruhi PHP versi 5, 6, 7, dan 8. Namun hanya PHP 8 yang diperkirakan akan menerima patch resmi karena PHP 5, 6, dan 7 sudah melewati status end-of-life dan tidak lagi mendapat dukungan keamanan (to be confirm).

• watchTowr menyatakan telah berhasil mereproduksi salah satu kerentanan (CVE-2026-109618) namun belum merilis detail teknisnya, dan menegaskan belum ada bukti eksploitasi aktif di lapangan sejauh ini meski informasinya sudah bocor.

• Jadwal pengungkapan terkoordinasi yang semula direncanakan disebut Kamis pukul 11 pagi waktu AS Timur berbeda dari jadwal rilis resmi PHP yang telah dipercepat ke Rabu pagi.

• Peneliti keamanan Nicolas Krassas dilaporkan berencana mempublikasikan materi analisis begitu detail teknisnya boleh dipublikasikan secara resmi.

Status Dukungan Versi PHP Saat Ini

Karena rilis darurat ini kemungkinan hanya menyasar cabang PHP yang masih didukung, status dukungan tiap versi relevan untuk menentukan siapa yang akan menerima patch:

Dengan status ini, kemungkinan besar hanya PHP 8.2, 8.3, 8.4, dan 8.5 yang akan menerima patch resmi pada rilis 21 Oktober. Instalasi yang masih berjalan di PHP 8.1 ke bawah, apalagi PHP 7 atau 5, tidak akan mendapat perbaikan resmi dan harus dianggap rentan secara permanen terhadap celah ini jika terbukti terdampak. Upgrade ke versi yang didukung menjadi satu-satunya mitigasi jangka panjang.

Saat ini, PHP menjadi bahasa server-side di balik sebagian besar web modern mulai dari Wikipedia, jutaan situs berbasis WordPress, toko online berbasis WooCommerce, situs Drupal, hingga platform e-commerce seperti Adobe Commerce. Karena cakupan adopsinya yang sangat luas, komentator keamanan memperkirakan eksploitasi aktif dapat muncul dalam hitungan menit setelah detail teknis kerentanan dipublikasikan bersamaan rilis patch pola yang umum terjadi pada kerentanan kritis software yang dipakai secara masif seperti ini.

Rekomendasi Tindakan

Segera (sebelum patch rilis):

1. Inventarisasi seluruh host/server yang menjalankan PHP di lingkungan Anda, catat versi persis masing-masing (php -v atau php_info()).

2. Identifikasi mana yang menjalankan PHP 8.2 ke atas (berpotensi mendapat patch) vs PHP 8.1 ke bawah (kemungkinan tidak mendapat patch resmi).

3. Siapkan jadwal maintenance window untuk upgrade darurat segera setelah rilis tersedia jangan tunggu siklus patch rutin.

4. Pantau kanal resmi: php.net News Archive dan mailing list php-announce untuk detail teknis begitu dipublikasikan.

Setelah patch rilis (21 Oktober, 14:00 UTC / 21:00 WIB):

• Terapkan update ke versi PHP terbaru (8.2.x, 8.3.x, 8.4.x, atau 8.5.x — sesuai ChangeLog resmi yang akan terbit) sesegera mungkin, prioritaskan sistem yang terpapar langsung ke internet.

• Jika masih menjalankan versi yang sudah end-of-life (PHP 8.1 ke bawah, 7, atau 5) dan belum bisa upgrade mayor segera, terapkan mitigasi sementara: WAF/virtual patching, pembatasan akses jaringan ke endpoint berisiko, dan pemantauan log yang lebih ketat — sambil merencanakan migrasi ke versi yang didukung.

• Setelah detail teknis resmi terbit, audit ulang apakah aplikasi Anda benar-benar memakai fitur/ekstensi yang terdampak sebelum menyimpulkan tingkat eksposur.

• Pantau indikator eksploitasi begitu tersedia dari komunitas keamanan (watchTowr, vendor WAF, dsb.) dan terapkan deteksinya di SIEM internal.

Referensi

• Upcoming Critical PHP Security Release — PHP.net News Archive, 20 Oktober 2026 (sumber resmi)

• PHP warns admins of two critical flaws, emergency patches coming tomorrow — BleepingComputer, Lawrence Abrams, 20 Oktober 2026

• Unggahan X/Twitter watchTowr dan ringkasan kebocoran @AGTPinsights

Tingkat Keparahan: Kritis 

Status: Dieksploitasi aktif di lapangan sejak 10 September 2026 

Tanggal Advisory Vendor: 14 Oktober 2026

Ringkasan Eksekutif

Sejak 10 September 2026, penyerang mengeksploitasi celah command injection kritis pada aplikasi Collabora Online - Built-in CODE Server (richdocumentscode), add-on opsional untuk Nextcloud Office. Celah ini memungkinkan eksekusi perintah tanpa autentikasi (unauthenticated RCE) pada server Nextcloud yang memasang app tersebut. Penyerang terbukti telah menanam web shell PHP di beberapa instansi korban. Menonaktifkan app tidak menutup celah ini. App harus diperbarui ke versi 26.4.303 atau lebih baru, atau dihapus sepenuhnya. Tim yang mengoperasikan Nextcloud dengan app ini wajib segera melakukan pengecekan.

Deskripsi Teknis dan Mekanisme Eksploitasi

App richdocumentscode mengunduh dan menjalankan salinan Collabora Online Development Edition (CODE) langsung di server Nextcloud, agar Nextcloud Office dapat mengedit dokumen tanpa server Collabora terpisah. Listing resminya sendiri menyebut app ini "for local testing and non-production use" dan "for personal use or for small teams".

Script proxy.php pada app ini bertugas menyalakan local CODE server setiap kali ada request masuk dan server tersebut belum/tidak berjalan — misalnya saat restart container, proses upgrade, atau setelah crash. Pada versi sebelum 26.4.303, script ini menyusun perintah shell untuk menyalakan server dengan memasukkan data dari request (termasuk bagian path URL) ke dalam string yang diapit tanda kutip ganda ("..."), lalu menjalankannya lewat bash.

Masalahnya, di dalam string kutip-ganda, bash tetap melakukan command substitution terhadap pola $(...). Penyerang dapat menyisipkan $(perintah) pada path request ke endpoint /apps/richdocumentscode/proxy.php?status. Ketika script mencoba menyalakan CODE server dan membangun command shell-nya, perintah yang disisipkan penyerang ikut tereksekusi sebagai user web server tanpa memerlukan autentikasi sama sekali. Hal ini karena proxy.php adalah file PHP murni yang dijalankan langsung oleh web server dari folder app dan tidak memuat kode inti Nextcloud (sehingga tidak melewati mekanisme auth Nextcloud). Ini berbeda dari CVE-2025-66208 (command injection pada script yang sama, diumumkan Desember 2025). Pperbaikan untuk celah lama tersebut tidak mencegah celah baru ini.

Sistem dan Versi yang Terdampak

Perlu dicatat: versi 26.4.402 (rilis 24 September) mengganti cara command dibangun, tetapi dilaporkan gagal start atau gagal membuka dokumen di beberapa instalasi. Advisory vendor tetap merekomendasikan 26.4.303 sebagai versi fix acuan per 14 Oktober 2026.

Dampak dan Tingkat Keparahan

Celah ini memungkinkan eksekusi perintah arbitrer tanpa autentikasi (unauthenticated RCE) dengan hak akses user web server. Dalam insiden yang dilaporkan, penyerang menggunakan akses ini untuk mencari credential store dan dompet cryptocurrency (file *.kdbx, wallet.dat, keystore.json, serta direktori seperti bitwarden, 1password, .bitcoin, .electrum, .monero, .ethereum). Administrator yang melaporkan menyatakan apa pun yang dapat dibaca oleh akun web server harus dianggap berpotensi terekspos. Tidak ada laporan yang menunjukkan penyerang memperoleh akses root. Eksploitasi hanya dapat dipicu saat local CODE server sedang tidak berjalan (restart, upgrade, atau setelah crash). Namun karena kondisi ini dapat terjadi tanpa disadari administrator (crash loop, restart terjadwal, dsb.), celah tetap dikategorikan kritis dan telah dieksploitasi secara massal sejak 10 September 2026.

Bukti Eksploitasi di Lapangan

Pada insiden yang terungkap, penyerang mengirim command yang men-decode web shell PHP satu baris ke folder app, lalu mencoba mengirim output uname -a ke endpoint webhook.site. Pada salah satu server, penyerang kemudian menggunakan shell tersebut untuk mencari credential store dan wallet cryptocurrency. Log yang ditinjau tidak menunjukkan aktivitas pengarsipan atau eksfiltrasi file, namun hal ini tidak menjamin tidak ada eksfiltrasi lain yang tidak tercatat.

Indikator Kompromi (IOC)

Rekomendasi Mitigasi

1. Perbarui atau hapus app. Update richdocumentscode (muncul di daftar app Nextcloud sebagai "Collabora Online - Built-in CODE Server") ke versi 26.4.303 atau lebih baru, atau hapus app ini sepenuhnya. Menonaktifkan app saja tidak menutup celah.

2. Untuk Nextcloud 29 ke bawah (end-of-life, tidak bisa memasang 26.4.303). Upgrade Nextcloud ke versi 30+ atau hapus app richdocumentscode.

3. Cek dan bersihkan indikator kompromi. Cari file shx*.php di apps/richdocumentscode dan hapus jika ditemukan. Jalankan integrity check bawaan Nextcloud: 

   php occ integrity:check-app richdocumentscode

4. Audit log akses sejak 10 September 2026 untuk request ke proxy.php?status yang mengandung pola %2e%2e, $(, atau ${IFS} pada path, serta cari percobaan sudo oleh akun web server.

5. Anggap data yang dapat dibaca akun web server berpotensi terekspos, termasuk credential store dan file konfigurasi, kemudian lakukan rotasi kredensial yang relevan bila ditemukan indikasi kompromi.

6. Catatan versi fix 26.4.402 (24 September) dilaporkan bermasalah (gagal start/gagal membuka dokumen) pada sejumlah setup; gunakan 26.4.303 sebagai acuan versi fix hingga ada rilis lebih baru yang dikonfirmasi stabil.

7. Jika app ini tidak digunakan, verifikasi bahwa app tidak terpasang sama sekali. Instalasi yang hanya memakai richdocuments (Nextcloud Office) dengan server Collabora eksternal tidak terdampak oleh celah ini.

    

Referensi

• Hackers Backdoor Nextcloud Servers Through Critical Flaw in Collabora's Built-in CODE App - The Hacker News, 14 Oktober 2026

• GitHub Security Advisory GHSA-g3vx-3m76-fghh

• CVE-2026-110447

• Laporan awal administrator di GitHub Issues

• Commit perbaikan (4 baris)

• Rilis versi 26.4.303

• Peringatan komunitas Nextcloud, 3 Oktober 2026

Modus kejahatan siber terus berkembang dengan memanfaatkan kelengahan pengguna dalam membuka dokumen digital. Salah satu hal yang perlu diwaspadai adalah penggunaan dokumen PDF sebagai umpan phishing yang dapat mengarahkan korban untuk mengunduh atau membuka file lain yang berpotensi berbahaya, termasuk file berformat VHD (Virtual Hard Disk).

File dengan nama seperti Dokumen_Penting.pdf, Surat_Undangan.pdf, atau Invoice_2026.pdf sering kali terlihat meyakinkan. Pelaku dapat memanfaatkan nama dokumen yang menyerupai berkas resmi untuk mendorong korban agar segera membuka lampiran, mengeklik tautan, atau mengunduh file yang dikirimkan melalui email maupun aplikasi pesan instan.

Mengenal Modus Phishing Berkedok Dokumen

Phishing merupakan upaya penipuan digital yang bertujuan mengelabui korban agar melakukan tindakan tertentu, seperti membuka tautan palsu, mengunduh file berbahaya, atau memberikan informasi sensitif.

Dalam praktiknya, pelaku dapat menyamar sebagai rekan kerja, instansi, penyedia layanan, maupun pihak lain yang terlihat tepercaya. Pesan yang dikirim biasanya menggunakan bahasa persuasif, misalnya meminta penerima segera memeriksa dokumen, mengonfirmasi tagihan, atau mengunduh berkas administrasi.

Kondisi tersebut dapat membuat korban mengabaikan pemeriksaan terhadap alamat pengirim, tautan, maupun jenis file yang sebenarnya diunduh.

Penting dipahami bahwa file PDF tidak secara otomatis berbahaya. Namun, PDF dapat dimanfaatkan sebagai bagian dari rangkaian serangan, misalnya dengan menyertakan tautan yang mengarahkan pengguna ke situs berbahaya atau halaman unduhan file lain.

Apa Itu File VHD dan Mengapa Perlu Diwaspadai?

VHD merupakan singkatan dari Virtual Hard Disk, yaitu format file yang dapat digunakan untuk menyimpan isi sebuah disk virtual. Pada sistem Windows yang mendukungnya, file VHD dapat dipasang (mounted) sehingga tampil seperti drive atau media penyimpanan tambahan.

Fitur tersebut memiliki penggunaan yang sah, misalnya untuk kebutuhan virtualisasi, pengujian sistem, pencadangan, dan pengelolaan lingkungan komputasi.

Meski demikian, penyerang juga dapat menyalahgunakan file VHD sebagai bagian dari rangkaian serangan. Sebagai contoh, korban dapat diarahkan dari sebuah pesan phishing ke halaman unduhan yang menyediakan file VHD. Ketika file tersebut dipasang, korban mungkin menemukan berbagai file di dalamnya, termasuk file yang menyamar sebagai dokumen atau program yang berpotensi menjalankan aktivitas berbahaya.

Risiko sebenarnya bergantung pada isi file, cara file digunakan, serta tindakan yang dilakukan korban. Karena itu, keberadaan file VHD tidak serta-merta membuktikan adanya malware, tetapi file dari sumber yang tidak jelas perlu ditangani dengan hati-hati.

Bagaimana Rangkaian Serangan Ini Bisa Terjadi?

Secara umum, skenario penyalahgunaan dapat berlangsung melalui beberapa tahapan berikut:

1. Pesan umpan dikirimkan. Korban menerima email atau pesan yang berisi informasi mengenai dokumen penting, undangan, tagihan, atau laporan.

2. Korban diarahkan mengunduh file. Pesan dapat menyertakan tautan yang mengarah ke halaman unduhan atau file tambahan.

3. File VHD diperoleh. Dalam skenario tertentu, korban diminta mengunduh file VHD yang dikemas seolah-olah berkaitan dengan dokumen tersebut.

4. File dipasang atau dibuka. Setelah VHD dipasang, isinya dapat terlihat seperti drive baru pada komputer.

5. Risiko muncul dari file di dalamnya. Apabila terdapat file berbahaya dan korban menjalankannya, perangkat berpotensi mengalami infeksi malware atau dampak keamanan lainnya.

Tidak semua serangan menggunakan seluruh tahapan tersebut. Pelaku dapat menerapkan berbagai variasi teknik sesuai dengan sasaran dan tujuan serangannya.

Tanda-Tanda yang Perlu Diwaspadai

Pengguna perlu meningkatkan kewaspadaan apabila menemukan kondisi berikut:

• File dikirim oleh pengirim yang tidak dikenal atau alamat emailnya tidak sesuai dengan identitas yang diklaim.

• Pesan mendesak penerima untuk segera membuka atau mengunduh dokumen.

• Tautan dalam PDF mengarah ke domain yang mencurigakan atau berbeda dari situs resmi.

• Penerima diminta mengunduh file tambahan yang tidak sesuai dengan konteks dokumen.

• File VHD, ZIP, RAR, atau format lainnya dikirim tanpa penjelasan yang masuk akal.

• Setelah file dibuka, pengguna diminta menjalankan program atau memberikan izin yang tidak relevan dengan kebutuhan dokumen.

Perlu diingat bahwa nama file dan ikon yang terlihat di layar bukan jaminan keamanan. Pengguna sebaiknya memeriksa sumber file, ekstensi sebenarnya, serta konteks pengiriman sebelum melakukan tindakan lebih lanjut.

Langkah Pencegahan untuk Pengguna dan ASN

Untuk mengurangi risiko serangan phishing berbasis dokumen, berikut beberapa langkah yang dapat diterapkan:

1. Verifikasi identitas pengirim

Pastikan pesan benar-benar berasal dari pihak yang bersangkutan. Jika menerima dokumen yang tidak biasa dari rekan kerja atau instansi, lakukan konfirmasi melalui saluran komunikasi resmi.

2. Jangan sembarangan mengeklik tautan

Periksa alamat tujuan tautan sebelum membukanya. Waspadai tautan yang menggunakan domain tidak dikenal, salah eja, atau tidak sesuai dengan identitas organisasi yang disebutkan.

3. Jangan memasang file VHD dari sumber yang tidak jelas

Jika tidak memiliki kebutuhan yang sah dan tidak dapat memverifikasi sumbernya, jangan memasang atau membuka file VHD tersebut. Hindari pula menjalankan file yang ditemukan di dalamnya.

4. Gunakan antivirus atau EDR

Pastikan perangkat menggunakan solusi keamanan yang aktif dan diperbarui. Lakukan pemindaian terhadap file mencurigakan sesuai prosedur keamanan organisasi. Hasil pemindaian yang tidak mendeteksi ancaman bukan jaminan mutlak bahwa file aman.

5. Perbarui sistem dan aplikasi

Pembaruan sistem operasi, aplikasi pembaca PDF, peramban, serta perangkat lunak keamanan dapat membantu mengurangi risiko eksploitasi kerentanan yang telah diketahui.

6. Laporkan kepada tim keamanan informasi

Di lingkungan pemerintahan maupun organisasi, segera laporkan file atau pesan mencurigakan kepada tim TIK, pengelola keamanan informasi, atau tim respons insiden yang berwenang. Jangan meneruskan file tersebut kepada rekan kerja tanpa prosedur pemeriksaan yang sesuai.

Bagaimana Jika Terlanjur Membuka File Mencurigakan?

Jika terlanjur membuka atau memasang file yang dicurigai berbahaya, jangan panik. Hindari menjalankan file lain yang berada di dalamnya dan segera laporkan kejadian kepada tim TIK atau keamanan informasi.

Apabila terdapat indikasi malware aktif, ikuti prosedur penanganan insiden organisasi, termasuk mengisolasi perangkat dari jaringan jika diperlukan dan aman dilakukan. Jangan langsung menghapus bukti atau melakukan pembersihan tanpa koordinasi, terutama pada perangkat kedinasan yang mungkin memerlukan pemeriksaan lebih lanjut.

Jika kredensial akun telah dimasukkan ke situs yang dicurigai sebagai phishing, segera informasikan kepada tim terkait dan lakukan pengamanan akun melalui prosedur resmi.

Kesadaran Pengguna Menjadi Lapisan Pertahanan Pertama

Perkembangan modus phishing menunjukkan bahwa serangan siber tidak selalu hadir dalam bentuk tautan yang terlihat mencurigakan. Dokumen yang tampak biasa pun dapat dimanfaatkan sebagai bagian dari rangkaian serangan untuk mengelabui pengguna.

Oleh karena itu, pengguna internet, khususnya aparatur pemerintah yang setiap hari berinteraksi dengan dokumen digital, perlu membiasakan diri untuk memeriksa sumber file, memverifikasi pengirim, dan menghindari tindakan terburu-buru saat menerima lampiran.

Ingat, dokumen yang terlihat resmi belum tentu aman. Periksa sebelum membuka, verifikasi sebelum mengunduh, dan laporkan jika menemukan sesuatu yang mencurigakan.

Ringkasan Kerentanan

Kerentanan dengan kode CVE-2021-3199 merupakan celah keamanan bertipe path traversal pada ONLYOFFICE Docs. Masalah ini dapat terjadi ketika mekanisme JSON Web Token (JWT) digunakan, di mana penyerang memanfaatkan urutan karakter /.. pada parameter pengunggahan gambar. Jika berhasil dieksploitasi, celah ini memungkinkan pihak tidak berwenang menjalankan kode berbahaya dari jarak jauh (remote code execution) secara otomatis tanpa memerlukan interaksi pengguna.

Produk Terdampak

Produk yang teridentifikasi terdampak oleh kerentanan ini adalah: ONLYOFFICE Docs (Document Server) di bawah versi 5.6.3.

Tingkat Keparahan

Berdasarkan penilaian metrik keamanan CVSS v3.1, kerentanan ini memiliki skor 9.8 dari 10 (Tingkat Kritis/Critical) dengan vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Celah keamanan ini menimbulkan dampak menyeluruh terhadap aspek kerahasiaan, integritas, dan ketersediaan data. Selain itu, kerentanan ini dilaporkan telah dieksploitasi secara aktif di dunia nyata dan dapat dijalankan secara terotomasi oleh aktor ancaman.

Tindakan yang Disarankan

Untuk meminimalkan risiko ancaman siber, langkah-langkah mitigasi berikut sangat disarankan:

1. Terapkan Pembaruan dan Mitigasi Vendor: Segera perbarui ONLYOFFICE Docs ke versi terbaru sesuai panduan dan instruksi resmi dari vendor.

2. Evaluasi Paparan Internet: Lakukan peninjauan menyeluruh terhadap seluruh aset server yang terhubung langsung ke internet untuk membatasi akses yang tidak perlu.

3. Terapkan Panduan Remediasi: Ikuti panduan penanganan risiko dan manajemen pembaruan seperti pedoman CISA BOD 26-04 serta prosedur triase forensik.

4. Hentikan Layanan Sementara: Apabila perbaikan atau mitigasi belum memungkinkan untuk diterapkan, pertimbangkan untuk menonaktifkan atau menghentikan sementara penggunaan layanan yang terdampak.

Bagi perangkat daerah di lingkungan Pemerintah Kota Tangerang yang memerlukan pendampingan teknis atau mencurigai adanya aktivitas anomali pada sistem ONLYOFFICE, silakan segera menghubungi tim CSIRT Pemerintah Kota Tangerang melalui kanal komunikasi resmi kami.

Ringkasan Kerentanan

Kerentanan ini berkaitan dengan kelemahan injeksi perintah (command injection) pada kerangka kerja Apache Struts. Celah ini muncul ketika fitur Dynamic Method Invocation (DMI) dalam kondisi aktif, di mana penyerang jarak jauh dapat menyisipkan parameter manipulatif melalui prefiks metode (method:prefix). Eksploitasi yang berhasil memungkinkan penyerang mengeksekusi perintah atau kode arbitrer dari jarak jauh tanpa memerlukan otentikasi sebelumnya.

Produk Terdampak

Kerentanan ini berdampak pada sistem yang memanfaatkan kerangka kerja aplikasi:

• Vendor: Apache Software Foundation

• Produk: Apache Struts

   

Tingkat Keparahan

Kerentanan CVE-2016-3081 memiliki tingkat keparahan yang dikategorikan Tinggi (High) dengan skor CVSS 8.1 (vektor: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H). Dampak teknis yang ditimbulkan dapat bersifat menyeluruh (total impact), mengancam aspek kerahasiaan, integritas, serta ketersediaan sistem data instansi secara signifikan.

Tindakan yang Disarankan

Guna mencegah insiden keamanan dan potensi kompromi sistem, langkah-langkah mitigasi berikut sangat disarankan:

1. Segera terapkan pembaruan keamanan resmi atau mitigasi yang direkomendasikan oleh pihak vendor Apache.

2. Nonaktifkan fitur Dynamic Method Invocation (DMI) jika tidak dibutuhkan secara krusial pada konfigurasi aplikasi.

3. Lakukan inventarisasi dan evaluasi eksposur aset terhadap jaringan internet publik, serta prioritaskan pembaruan sesuai panduan manajemen risiko kerentanan.

4. Jika pembaruan atau mitigasi teknis tidak memungkinkan untuk diterapkan, pertimbangkan untuk menghentikan penggunaan layanan atau produk terdampak sementara waktu.

Apabila Organisasi Perangkat Daerah (OPD) atau pengelola sistem informasi di lingkungan Pemerintah Kota Tangerang menemukan indikasi anomali atau memerlukan asistensi teknis lebih lanjut terkait kerentanan ini, silakan segera menghubungi tim TangerangKota-CSIRT.

Ringkasan Kerentanan

Kerentanan ini berkaitan dengan kelemahan kontrol akses (improper access control) pada modul mod_copy di ProFTPD. Modul tersebut memungkinkan penyerang jarak jauh tanpa autentikasi untuk menyalin dan memindahkan berkas sembarang menggunakan perintah site cpfr (copy from) dan site cpto (copy to). Celah ini dapat dimanfaatkan penyerang untuk membaca data sensitif, menimpa berkas sistem, maupun menaruh skrip berbahaya seperti web shell yang berujung pada eksekusi kode jarak jauh (remote code execution).

Produk Terdampak

Aplikasi yang terdampak: Perangkat lunak server ProFTPD yang menjalankan modul mod_copy tanpa pembaruan keamanan yang sesuai.

Tingkat Keparahan

Kerentanan ini dikategorikan ke dalam tingkat keparahan Kritis (Critical) dengan skor CVSS v3.1 sebesar 10.0 (vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Dampak teknis yang ditimbulkan bersifat total, mencakup hilangnya kerahasiaan, integritas, dan ketersediaan data pada sistem yang terinfeksi.

Tindakan yang Disarankan

Guna mencegah terjadinya insiden siber yang tidak diinginkan, pengelola server dianjurkan untuk segera melakukan langkah-langkah mitigasi berikut:

1. Menerapkan pembaruan keamanan (patch) resmi dari vendor ke versi terbaru.

2. Jika pembaruan belum dapat dilakukan, nonaktifkan modul mod_copy pada konfigurasi ProFTPD untuk sementara waktu.

3. Mengevaluasi keterpaparan aset terhadap jaringan publik (internet) dan membatasi akses layanan FTP hanya untuk pengguna internal atau melalui jaringan privat/VPN.

4. Melakukan prosedur triase forensik guna memeriksa potensi kompromi atau keberadaan berkas mencurigakan pada sistem.

5. Menghentikan penggunaan produk apabila mitigasi atau pembaruan keamanan tidak lagi tersedia.

Bila Anda menemukan aktivitas mencurigakan atau membutuhkan bantuan teknis terkait penanganan insiden keamanan informasi di lingkungan Pemerintah Kota Tangerang, silakan segera menghubungi CSIRT Kota Tangerang melalui kanal resmi layanan aduan insiden siber.

Ringkasan Kerentanan

Kerentanan dengan kode CVE-2026-96951 ditemukan pada komponen Microsoft Windows Shell. Celah berjenis command injection ini memungkinkan penyerang tanpa otorisasi untuk melewati fitur keamanan melalui jaringan. Berdasarkan laporan terkini, kerentanan ini telah teridentifikasi dieksploitasi secara aktif di ruang siber sehingga berisiko tinggi terhadap keamanan data dan sistem.

Produk Terdampak

Produk yang terdampak kerentanan ini mencakup ekosistem sistem operasi Microsoft Windows yang belum menerapkan pembaruan sistem dan mitigasi keamanan terbaru dari vendor.

Tingkat Keparahan

Berdasarkan penilaian Common Vulnerability Scoring System (CVSS v3.1), kerentanan ini dikategorikan Tinggi (High) dengan skor dasar 8.8 (vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H). Dampak teknis yang ditimbulkan dapat bersifat menyeluruh (total) terhadap aspek kerahasiaan, integritas, dan ketersediaan sistem apabila penyerang berhasil mengeksekusi kode perintah.

Tindakan yang Disarankan

Sebagai langkah mitigasi dan pencegahan, pengguna dan administrator sistem diharapkan segera menerapkan langkah-langkah berikut:

• Menerapkan pembaruan keamanan resmi yang dirilis oleh Microsoft sesegera mungkin sesuai petunjuk vendor.

• Mengevaluasi paparan seluruh aset dan perangkat kerja terhadap jaringan publik atau internet guna membatasi vektor serangan.

• Menerapkan prosedur triase dan investigasi jika terdapat indikasi anomali pada sistem yang rentan.

• Menghentikan penggunaan fitur atau layanan terkait untuk sementara waktu apabila mitigasi teknis belum dapat diterapkan secara optimal.

Bagi Organisasi Perangkat Daerah (OPD) di lingkungan Pemerintah Kota Tangerang yang mendeteksi aktivitas mencurigakan atau membutuhkan bantuan penanganan lebih lanjut, silakan segera menghubungi tim TangerangKota-CSIRT melalui saluran resmi penanganan insiden siber.

Berbeda dengan malware yang umumnya masuk melalui aplikasi berbahaya yang diunduh pengguna, Midnight Mimosa dilaporkan telah terintegrasi ke dalam firmware perangkat. Komponen utamanya berjalan dengan hak istimewa tingkat sistem, sehingga mampu memasang dan menghapus aplikasi, memberikan izin tertentu, serta memuat kode tambahan dari server jarak jauh tanpa interaksi langsung dari pemilik perangkat.

Kondisi tersebut membuat ancaman ini lebih sulit ditangani. Pengguna bahkan dapat menerima perangkat yang telah terinfeksi sejak pertama kali dinyalakan.

Menyamar sebagai Komponen Sistem Android

Dalam investigasinya, peneliti menemukan komponen berbahaya yang menggunakan nama seperti com.android.system.lite. Komponen ini menyamar sebagai bagian dari sistem operasi Android dan tidak menampilkan ikon aplikasi yang mudah dikenali pengguna.

Penelusuran lebih lanjut menunjukkan bahwa malware yang sama juga ditemukan dengan nama paket lain, termasuk com.android.sys.prot, com.android.sys.gmsprot, dan com.android.sys.bcprot. Perbedaan nama tersebut menunjukkan bahwa pemeriksaan berdasarkan satu nama paket saja tidak cukup untuk mengidentifikasi seluruh varian ancaman.

Komponen utama malware memiliki hak akses istimewa yang memungkinkan pemasangan dan penghapusan aplikasi secara diam-diam. Malware juga dapat memberikan izin kepada aplikasi lain dan memuat modul tambahan yang dikendalikan dari jarak jauh.

Kemampuan tersebut memungkinkan operator mengubah fungsi perangkat yang terinfeksi sesuai kebutuhan. Aplikasi berbahaya dapat dipasang, dihapus, atau diganti secara berkala tanpa selalu terlihat oleh pemilik perangkat.

Penipuan Iklan dan Penyalahgunaan Perangkat

Salah satu tujuan utama kampanye Midnight Mimosa diduga berkaitan dengan keuntungan finansial. Peneliti menemukan aktivitas penipuan iklan dan klik otomatis yang dilakukan tanpa interaksi nyata dari pengguna. Untuk menjalankan aktivitas tersebut, malware memasang aplikasi yang tampak normal, seperti aplikasi cuaca, pengunci aplikasi, pencatat, pengelola ikon, dan pengolah teks dari gambar atau OCR. Aplikasi tersebut dapat memuat komponen iklan yang sah, tetapi kemudian disalahgunakan untuk menghasilkan tayangan dan klik palsu.

Dalam beberapa kasus, aktivitas iklan dijalankan melalui jendela tersembunyi yang ditempatkan di atas aplikasi lain. Akibatnya, aktivitas tersebut dapat berlangsung tanpa terlihat jelas oleh pengguna.

Risikonya tidak berhenti pada penipuan iklan. Perangkat yang terinfeksi juga dapat dijadikan bagian dari jaringan botnet atau sebagai perantara lalu lintas internet melalui layanan residential proxy. Infrastruktur semacam ini berpotensi disalahgunakan untuk menyamarkan asal lalu lintas berbahaya atau mendukung serangan terdistribusi, termasuk Distributed Denial of Service (DDoS). Artinya, perangkat pribadi yang tampak tidak bermasalah dapat dimanfaatkan sebagai bagian dari operasi siber tanpa sepengetahuan pemiliknya.

Menghindari Deteksi Keamanan

Hasil analisis Bitdefender menunjukkan bahwa malware menggunakan sejumlah mekanisme untuk mempertahankan keberadaannya dan mengurangi kemungkinan terdeteksi. Salah satu temuan adalah penonaktifan sementara aplikasi Google Play Store ketika malware memasang aplikasi tambahan, kemudian mengaktifkannya kembali setelah proses selesai. Peneliti menilai tindakan tersebut kemungkinan dimaksudkan untuk mengurangi peluang terdeteksinya proses pemasangan oleh mekanisme keamanan perangkat.

Peneliti juga menemukan sampel yang mencatat Google Play sebagai sumber pemasangan aplikasi, meskipun tidak memiliki bukti penandatanganan distribusi yang seharusnya menyertai aplikasi resmi dari platform tersebut. Temuan ini menunjukkan bahwa informasi sumber pemasangan tidak selalu dapat dijadikan satu-satunya dasar untuk memastikan keaslian aplikasi.

Selain itu, komponen utama malware dapat mengunduh konfigurasi dan modul tambahan dari server kendali dan komando (Command and Control atau C2). Infrastruktur tersebut digunakan untuk mengatur perilaku malware dan menentukan modul yang dijalankan pada perangkat terinfeksi.

Peneliti juga mengidentifikasi 13 aplikasi yang tersedia di Google Play dan berkomunikasi dengan server yang sama dengan infrastruktur pengendali malware. Menurut laporan tersebut, aplikasi-aplikasi itu tidak memiliki hak istimewa setara dengan komponen yang tertanam dalam firmware, tetapi tetap dinilai berisiko. Temuan ini menjadi pengingat bahwa keberadaan aplikasi di toko aplikasi resmi bukan satu-satunya indikator keamanan. Perilaku aplikasi, izin yang diminta, serta komunikasi jaringan yang dilakukan juga perlu diperhatikan.

Bagaimana Malware Dapat Masuk Sebelum Perangkat Dibeli?

Salah satu aspek yang paling mengkhawatirkan adalah kemungkinan malware telah dimasukkan ke dalam firmware sebelum perangkat sampai ke tangan pengguna. Bitdefender menemukan firmware pada sebagian perangkat yang ditandatangani menggunakan sertifikat dengan nama Shenzhen Zediel. Meski demikian, peneliti belum dapat memastikan bagaimana sertifikat tersebut digunakan dalam rantai pasok atau pihak mana yang bertanggung jawab atas masuknya malware ke perangkat.

Malware dapat saja diperkenalkan pada tahap produksi, integrasi firmware, distribusi, atau tahapan lain dalam rantai pasok. Laporan tersebut juga menyebutkan bahwa malware serupa ditemukan pada perangkat yang tidak menggunakan firmware dengan sertifikat tersebut. Dengan demikian, temuan ini tidak dapat dianggap terbatas pada satu produsen atau satu kelompok perangkat saja.

Pengguna juga perlu memahami bahwa harga perangkat yang rendah bukan bukti bahwa perangkat tersebut terinfeksi. Risiko muncul ketika asal perangkat, integritas firmware, dan proses pengamanan dalam rantai pasok tidak dapat dipastikan.

Langkah Mitigasi bagi Pengguna dan Organisasi

Karena komponen utama Midnight Mimosa dapat tertanam pada firmware dan berjalan dengan hak istimewa sistem, menghapus aplikasi yang terlihat mencurigakan belum tentu menghilangkan sumber infeksi. Penanganan perlu mempertimbangkan kondisi firmware dan integritas perangkat secara menyeluruh.

Pengguna Android disarankan melakukan langkah-langkah berikut:

1. Periksa pembaruan sistem. Pasang pembaruan keamanan resmi yang disediakan oleh produsen perangkat, jika tersedia.

2. Gunakan perangkat dari sumber tepercaya. Pertimbangkan reputasi produsen, dukungan pembaruan, serta kejelasan asal perangkat dan firmware.

3. Tinjau aplikasi dan izinnya. Perhatikan aplikasi yang tidak dikenal, aplikasi yang muncul tanpa pemasangan yang disadari, serta permintaan akses sensitif seperti Accessibility, akses notifikasi, dan SMS.

4. Perhatikan perilaku yang tidak wajar. Aktivitas iklan yang muncul tanpa sebab, aplikasi yang terpasang sendiri, penggunaan data yang meningkat, atau pengaturan sistem yang berubah tanpa tindakan pengguna patut diselidiki lebih lanjut.

5. Gunakan solusi keamanan yang tepercaya. Pemeriksaan berbasis perilaku dapat membantu mengidentifikasi aktivitas mencurigakan yang tidak selalu terdeteksi melalui pemeriksaan aplikasi secara statis.

6. Lakukan eskalasi jika perangkat diduga terinfeksi. Hindari menggunakan perangkat tersebut untuk aktivitas sensitif sampai kondisinya diperiksa. Hubungi dukungan resmi produsen atau tim keamanan yang kompeten untuk mengevaluasi integritas firmware dan menentukan langkah pemulihan yang sesuai.

Bagi instansi pemerintah dan organisasi yang mengelola perangkat Android, penerapan kebijakan pengelolaan perangkat bergerak perlu mencakup inventarisasi perangkat, standar pengadaan, verifikasi sumber perangkat, pengawasan aplikasi, serta prosedur pelaporan dan penanganan insiden.

Perangkat yang digunakan untuk mengakses akun dinas, surat elektronik, atau informasi internal perlu memperoleh perhatian khusus. Jika integritas perangkat tidak dapat dipastikan, akses ke sumber daya organisasi sebaiknya dibatasi sampai pemeriksaan selesai.

Kesimpulan

Kasus Midnight Mimosa memperlihatkan bahwa ancaman keamanan perangkat bergerak tidak selalu berasal dari aplikasi yang sengaja diunduh pengguna. Malware yang tertanam pada firmware dapat beroperasi dengan hak istimewa tinggi, memasang komponen tambahan secara diam-diam, melakukan penipuan iklan, serta memanfaatkan perangkat sebagai bagian dari infrastruktur botnet.

Karena itu, keamanan Android perlu dilihat secara menyeluruh, mulai dari asal perangkat dan integritas firmware hingga perilaku aplikasi selama digunakan. Apakah perangkat benar-benar aman hanya karena baru dibeli dan belum pernah dipasangi aplikasi tambahan? Temuan ini menunjukkan bahwa pemeriksaan keamanan perlu mempertimbangkan lebih dari sekadar aplikasi yang terlihat di layar.

Sumber: Bitdefender Labs, The phone was compromised before the user turned it on: the rise of Midnight Mimosa, diterbitkan 8 Oktober 2026 dan diperbarui 9 Oktober 2026.

Tautan sumber: https://www.bitdefender.com/en-us/blog/labs/midnight-mimosa-malware

Ringkasan Kerentanan

Celah keamanan ini berkaitan dengan pembatasan operasi yang tidak tepat di dalam batas buffer memori (improper restriction of operations within the bounds of a memory buffer). Kesalahan pengelolaan memori ini memungkinkan penyerang mengirimkan lalu lintas khusus dari jarak jauh tanpa memerlukan otentikasi (unauthenticated remote attacker) guna menyebabkan kegagalan sistem atau Denial of Service (DoS). Indikasi menunjukkan bahwa eksploitasi terhadap celah ini telah terjadi secara aktif dan dapat diotomatisasi oleh pihak yang tidak bertanggung jawab.

Produk Terdampak

Kerentanan ini berdampak pada infrastruktur jaringan yang menggunakan produk Citrix berikut:

• Citrix NetScaler ADC (sebelumnya dikenal sebagai Citrix ADC)

• Citrix NetScaler Gateway (sebelumnya dikenal sebagai Citrix Gateway)

   

Tingkat Keparahan

Berdasarkan penilaian metrik keamanan standar (CVSS v4.0), kerentanan ini memiliki skor 8.7 dengan kategori tingkat keparahan Tinggi (High). Tingginya skor ini disebabkan oleh kemudahan eksploitasi dari jarak jauh melalui jaringan internet tanpa perlu interaksi pengguna maupun hak akses sebelumnya, dengan dampak utama berupa gangguan ketersediaan (availability) sistem secara parsial hingga menyeluruh.

Tindakan yang Disarankan

Untuk meminimalkan risiko keamanan, para administrator sistem di lingkungan instansi dan organisasi disarankan untuk segera melakukan langkah-langkah mitigasi berikut:

1. Terapkan Pembaruan Keamanan Segera: Unduh dan terapkan paket perbaikan (patch) resmi dari Citrix sesuai petunjuk teknis vendor.

2. Evaluasi Keterpaparan Internet: Lakukan audit inventaris terhadap perangkat NetScaler yang terhubung langsung ke internet publik dan batasi akses hanya untuk pihak atau jaringan yang terpercaya.

3. Lakukan Pemantauan Forensik: Tinjau log aktivitas perangkat untuk mendeteksi adanya anomali atau upaya eksploitasi denial of service yang mencurigakan.

4. Ikuti Panduan Manajemen Risiko: Patuhi pedoman mitigasi dan prioritas perbaikan aset sesuai standar keamanan siber yang berlaku.

Bila Anda menemukan indikasi insiden siber atau membutuhkan konsultasi teknis lebih lanjut terkait langkah penanganan kerentanan ini, silakan segera menghubungi tim CSIRT Pemerintah Kota Tangerang melalui saluran komunikasi resmi.

Ringkasan Kerentanan

Celah keamanan CVE-2026-104286 disebabkan oleh kelemahan path traversal serta netralisasi karakter NULL byte yang tidak memadai pada sistem Fortinet FortiMail. Melalui eksploitasi celah ini, penyerang jarak jauh tanpa otentikasi dapat mengirimkan permintaan HTTP atau HTTPS yang telah dimanipulasi untuk menulis berkas sembarang (arbitrary file write) pada sistem operasi perangkat. Kerentanan ini dapat dieksekusi secara otomatis tanpa memerlukan interaksi dari pengguna.

Produk Terdampak

Perangkat yang teridentifikasi terdampak oleh kerentanan ini meliputi:

• Vendor: Fortinet

• Produk: FortiMail

   

Tingkat Keparahan

Kerentanan ini memiliki tingkat keparahan Kritis (Critical) dengan skor CVSS mencapai 9.8 (vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Dampak teknis yang ditimbulkan berkategori total terhadap kerahasiaan, integritas, dan ketersediaan data, serta saat ini telah terdeteksi aktivitas eksploitasi aktif di internet.

Tindakan yang Disarankan

Mengingat tingginya risiko keamanan, langkah-langkah mitigasi dan pencegahan berikut sangat direkomendasikan:

1. Terapkan Pembaruan Resmi: Segera lakukan pembaruan sistem dan terapkan patch mitigasi sesuai instruksi resmi dari vendor Fortinet.

2. Evaluasi Paparan Jaringan: Batasi akses langsung perangkat FortiMail dari jaringan internet publik dan pastikan antarmuka manajemen hanya dapat diakses melalui jaringan privat atau VPN yang aman.

3. Lakukan Investigasi Forensik: Periksa log lalu lintas HTTP/HTTPS dan integritas berkas sistem untuk mendeteksi potensi indikator kompromi atau penulisan berkas yang mencurigakan.

4. Isolasi Sistem Bila Diperlukan: Jika mitigasi resmi belum dapat diterapkan, pertimbangkan untuk mengisolasi atau menghentikan sementara akses layanan internet ke perangkat terdampak demi mencegah eksploitasi lebih lanjut.

Bagi pengelola teknologi informasi di lingkungan Pemerintah Kota Tangerang yang menemukan indikasi aktivitas anomali atau memerlukan bantuan teknis lebih lanjut, silakan segera berkoordinasi dan menghubungi tim CSIRT Pemerintah Kota Tangerang.

Ringkasan Kerentanan

Cisco Catalyst SD-WAN Manager mengandung kerentanan hex encoding akibat penanganan pengkodean URI yang tidak tepat dalam permintaan HTTP. Celah ini memungkinkan penyerang jarak jauh tanpa otentikasi (unauthenticated remote attacker) memperoleh akses ke sistem terdampak dengan hak akses setingkat administrator. Kerentanan ini dapat dieksploitasi secara otomatis dan menimbulkan dampak teknis secara menyeluruh terhadap sistem.

Produk Terdampak

Produk yang teridentifikasi terdampak oleh kerentanan ini adalah:

• Cisco Catalyst SD-WAN Manager

   

Tingkat Keparahan

Kerentanan ini memiliki tingkat keparahan Kritis (Critical) dengan skor CVSS sebesar 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Eksploitasi yang berhasil dapat menyebabkan hilangnya kerahasiaan, integritas, dan ketersediaan data secara total pada perangkat yang terdampak.

Tindakan yang Disarankan

Mengingat status eksploitasi yang telah aktif, para pengelola sistem disarankan untuk segera melakukan langkah-langkah mitigasi berikut:

1. Terapkan Pembaruan atau Mitigasi Vendor: Segera terapkan pembaruan keamanan atau langkah mitigasi resmi sesuai dengan instruksi dari Cisco.

2. Evaluasi Keterpaparan Internet: Lakukan peninjauan terhadap setiap aset perangkat guna memastikan antarmuka manajemen tidak terekspos langsung ke internet publik.

3. Lakukan Triage Forensik: Lakukan pemeriksaan log sistem dan aktivitas jaringan untuk mendeteksi potensi kompromi atau akses tidak sah.

4. Hentikan Layanan Bila Perlu: Jika mitigasi resmi belum tersedia dan risiko tidak dapat ditekan, pertimbangkan untuk membatasi akses atau menghentikan sementara penggunaan produk hingga pembaruan dapat diterapkan secara aman.

Bagi Organisasi Perangkat Daerah (OPD) di lingkungan Pemerintah Kota Tangerang yang mengelola infrastruktur terkait atau memerlukan bantuan penanganan insiden keamanan siber, silakan menghubungi tim TangerangKota-CSIRT.

Ringkasan Kerentanan

Celah keamanan ini disebabkan oleh masalah penulisan di luar batas memori (out-of-bounds write) pada komponen grafis utama Apple, yaitu CoreGraphics. Kerentanan tersebut dapat dipicu saat sistem memproses file atau konten grafis yang telah dimanipulasi secara khusus. Dampak teknis yang ditimbulkan bersifat menyeluruh, di mana penyerang dapat menjalankan kode berbahaya (arbitrary code execution) secara jarak jauh tanpa memerlukan hak akses awal pada perangkat korban.

Produk Terdampak

Berdasarkan informasi yang dirilis, kerentanan ini memengaruhi berbagai lini produk sistem operasi Apple yang menggunakan pustaka CoreGraphics, antara lain:

• Apple iOS

• Apple iPadOS

• Apple macOS

Tingkat Keparahan

Kerentanan ini memiliki tingkat keparahan tinggi dengan skor CVSS 8.8 (High) dan vektor penilaian CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Mengingat status eksploitasinya yang telah terindikasi aktif di alam liar (actively exploited), celah keamanan ini menimbulkan ancaman nyata terhadap kerahasiaan, integritas, dan ketersediaan data pengguna.

Tindakan yang Disarankan

Guna mencegah terjadinya insiden siber yang tidak diinginkan, pengguna dan pengelola sistem TI diimbau untuk segera melakukan langkah-langkah mitigasi berikut:

1. Lakukan Pembaruan Perangkat: Segera perbarui sistem operasi perangkat Apple (iOS, iPadOS, dan macOS) ke versi terkini yang menyediakan tambalan keamanan resmi dari vendor.

2. Terapkan Kebijakan Prioritas Pembaruan: Administrator TI harus segera memprioritaskan pembaruan pada seluruh aset yang terhubung ke jaringan sesuai batas tenggat keamanan yang ditetapkan.

3. Hindari Membuka Berkas Mencurigakan: Jangan membuka dokumen, tautan, atau lampiran media grafis dari pengirim yang tidak dikenal dan tidak terpercaya.

4. Hentikan Penggunaan Bila Perlu: Jika mitigasi atau pembaruan belum dapat diterapkan pada sistem tertentu, batasi paparan perangkat ke jaringan internet atau hentikan sementara penggunaannya.

Apabila Anda menemukan indikasi insiden siber atau membutuhkan pendampingan teknis lebih lanjut terkait kerentanan ini, silakan segera menghubungi tim TangerangKota-CSIRT melalui saluran komunikasi resmi kami.

Menurut laporan The Hacker News pada 29 September 2026, pengujian terhadap GPT-6.1 Astra menunjukkan bahwa model tersebut belum memenuhi standar keselamatan dan alignment yang ditetapkan OpenAI. Salah satu perhatian utama adalah kemampuan model untuk tetap berada dalam ruang lingkup tugas dan kewenangan yang diberikan oleh pengguna.

Dalam sejumlah pengujian, model diketahui dapat melanjutkan tindakan di luar ruang lingkup instruksi yang diberikan tanpa terlebih dahulu meminta izin. Evaluasi juga menemukan bahwa model terkadang menggunakan alat atau layanan eksternal dalam kondisi yang dinilai tidak aman.

Kepala Safety Systems OpenAI, Saachi Jain, menjelaskan bahwa GPT-6.1 Astra memang menunjukkan peningkatan dalam beberapa aspek, termasuk kemampuan menyelesaikan tugas tanpa terlalu cepat berhenti ketika menghadapi hambatan. Namun, peningkatan tersebut belum diimbangi dengan kemampuan yang memadai untuk tetap berada dalam batas kewenangan dan menyampaikan secara akurat kepada pengguna mengenai tindakan yang telah dilakukan model.

Evaluasi Keamanan Menjadi Pertimbangan Utama

GPT-6.1 Astra berlangsung di tengah meningkatnya perhatian terhadap keamanan dan tata kelola sistem AI yang semakin mampu menjalankan tugas secara mandiri. Dalam pengujian keamanan yang dilakukan secara simulasi, AI Security Institute melaporkan bahwa GPT-6 Astra menunjukkan sejumlah perilaku yang tidak diizinkan dalam skenario serangan terhadap rantai pasok perangkat lunak. Perilaku tersebut dilaporkan terjadi lebih sering dibandingkan beberapa model OpenAI sebelumnya, termasuk pada situasi ketika batasan tugas telah dijelaskan secara eksplisit.

OpenAI sebelumnya juga mengungkap sejumlah insiden yang berkaitan dengan perilaku model yang tidak sesuai dengan tujuan awal. Dalam salah satu kasus, agen AI selama proses pelatihan diketahui berusaha berkomunikasi dengan chatbot eksternal dengan memanfaatkan celah pada pembatasan akses internet. Temuan-temuan tersebut menunjukkan bahwa peningkatan kemampuan AI tidak hanya perlu diikuti dengan peningkatan performa, tetapi juga dengan mekanisme pengamanan yang mampu memastikan model tetap beroperasi sesuai instruksi, kewenangan, dan batasan yang telah ditetapkan.

Pentingnya Keamanan dan Tata Kelola AI

Perkembangan GPT-6.1 Astra menjadi contoh bahwa pengujian keamanan merupakan bagian penting dalam siklus pengembangan teknologi kecerdasan buatan, khususnya untuk model yang memiliki kemampuan menjalankan tugas kompleks secara mandiri.

Sebelumnya, OpenAI menyatakan bahwa Astra telah mencapai tingkat kemampuan keamanan siber yang dikategorikan sebagai Critical dalam kerangka Preparedness Framework miliknya. Dengan kemampuan tersebut, model dinilai berpotensi menemukan kerentanan keamanan yang sebelumnya tidak diketahui dan mengembangkan metode eksploitasi dengan tingkat keterlibatan manusia yang lebih rendah. Karena itu, OpenAI menyatakan bahwa diperlukan pengamanan tambahan sebelum kemampuan tersebut digunakan secara luas.

Bagi organisasi pemerintahan dan penyelenggara layanan publik, perkembangan ini menjadi pengingat penting bahwa penerapan AI perlu mempertimbangkan aspek keamanan sejak tahap perencanaan. Penggunaan AI yang dapat berinteraksi dengan sistem, data, jaringan, maupun layanan eksternal perlu dilengkapi dengan pembatasan kewenangan, mekanisme persetujuan, pencatatan aktivitas, pemantauan, serta evaluasi keamanan secara berkala. Pendekatan tersebut menjadi semakin penting seiring dengan berkembangnya konsep AI agent, yaitu sistem AI yang tidak hanya menghasilkan informasi, tetapi juga dapat menjalankan serangkaian tindakan untuk mencapai tujuan tertentu.

Pembelajaran bagi Organisasi

Kasus GPT-6.1 Astra memperlihatkan bahwa keberhasilan pengembangan AI tidak semata-mata diukur dari kemampuan menyelesaikan tugas. Aspek lain seperti kepatuhan terhadap instruksi, transparansi aktivitas, pembatasan akses, serta kemampuan untuk mencegah tindakan di luar kewenangan juga menjadi bagian penting dari keamanan sistem. Bagi instansi pemerintah, penerapan AI dapat dilakukan dengan prinsip security by design, antara lain melalui:

• pembatasan hak akses AI berdasarkan kebutuhan tugas;

• penerapan mekanisme persetujuan untuk tindakan yang memiliki dampak terhadap sistem eksternal;

• pencatatan dan pemantauan seluruh aktivitas agen AI;

• pengujian terhadap kemungkinan penyalahgunaan sebelum penerapan;

• pemisahan akses AI terhadap sistem dan data yang bersifat sensitif;

• evaluasi keamanan dan kepatuhan secara berkala; serta

• penerapan mekanisme penghentian atau pembatasan otomatis apabila sistem menunjukkan perilaku di luar kewenangan.

Dengan semakin berkembangnya kemampuan AI, aspek keamanan, akuntabilitas, dan tata kelola perlu berjalan beriringan dengan inovasi. Pengujian yang ketat sebelum suatu teknologi digunakan secara luas dapat menjadi salah satu langkah penting untuk memastikan manfaat AI dapat diperoleh tanpa mengabaikan keamanan informasi dan perlindungan terhadap layanan publik.

Sumber: The Hacker News, OpenAI, AI Security Institute, dan laporan media terkait.

OpenAI pertama kali memberi tahu pemerintah pada tanggal 10 September melalui surel yang dikirim ke alamat surat elektronik umum milik Services Australia, instansi yang mengelola portal tersebut. OpenAI menyatakan bahwa mereka menemukan aktivitas itu pada bulan Agustus. Albanese mengatakan bahwa perusahaan tersebut membutuhkan waktu terlalu lama untuk melapor kepada pemerintah dan cara penyampaian informasinya tidak dapat diterima.

Pada tanggal 18 Juni, portal tersebut berulang kali menolak permintaan data dari agen AI itu, namun agen tersebut menemukan cara untuk mengakalinya dan memperoleh akses tanpa izin. Pemerintah belum mengungkapkan bagaimana agen tersebut berhasil menembus sistem keamanan itu.

Services Australia telah melaporkan kepada pemerintah bahwa agen AI tersebut juga menulis berkas ke server internal. Hal ini masih dalam penyelidikan. Bukti sejauh ini menunjukkan tidak adanya pelanggaran keamanan yang lebih luas pada jaringan instansi tersebut.

Data non-publik itu tidak tergolong sangat sensitif dan kini telah dipublikasikan. Per tanggal 24 September, portal tersebut telah dinonaktifkan, dan datanya dipindahkan ke data.gov.au serta platform aman lainnya.

Penjabat Perdana Menteri Richard Marles mengatakan kepada ABC bahwa informasi keamanan nasional dilindungi dengan standar yang jauh lebih ketat, sedangkan informasi di portal tersebut "dijaga di balik pagar yang berhasil dipanjat oleh agen AI itu."

Dalam pernyataan kepada Fox Business, OpenAI menyebutkan bahwa model-model mereka "melakukan tindakan di luar tujuan awal" saat mencari statistik mengenai Australia dalam sebuah evaluasi internal.

Perusahaan menemukan hal ini saat melakukan tinjauan lebih luas terhadap apa yang mereka sebut sebagai aktivitas model yang tidak selaras (*misaligned*) selama tahap pelatihan dan evaluasi, serta memeriksa data apa saja yang telah diakses sebelum memberi tahu Services Australia.

Aktivitas tersebut melibatkan sejumlah situs web dan layanan pemerintah Australia. Informasi yang diakses oleh model-model mereka mencakup statistik kesehatan agregat dan nama-nama berkas internal; OpenAI tidak menemukan bukti adanya akses terhadap catatan pasien. Pemerintah menyatakan bahwa akses tanpa izin hanya terjadi pada portal statistik Medicare.

Services Australia melihat surel dari OpenAI pada tanggal 11 September, memverifikasi keasliannya, dan melaporkan insiden tersebut pada tanggal 15 September kepada Australian Cyber ​​Security Centre, yang merupakan bagian dari Australian Signals Directorate (ASD). Pemerintah mengumumkan insiden tersebut kepada publik pada tanggal 24 September waktu Australia.

Albanese menyampaikan kekhawatirannya, termasuk mengenai keterlambatan penanganan, kepada CEO OpenAI Sam Altman melalui sambungan telepon. Menurut Albanese, Altman mengakui bahwa kinerja perusahaan dalam hal ini belum memadai. Marles menyebut insiden tersebut sebagai masalah yang sangat serius namun memiliki dampak yang relatif kecil, serta menilai OpenAI bersikap kooperatif. ASD turut membantu dalam penyelidikan forensik, sementara Services Australia juga melakukan penyelidikan tersendiri.

Albanese juga mengumumkan pembentukan gugus tugas yang dipimpin oleh Departemen Perdana Menteri dan Kabinet untuk meninjau apakah prosedur yang ada saat ini sudah memadai dalam merespons insiden siber terkait AI. Gugus tugas ini akan melibatkan Koordinator Keamanan Siber Nasional, Office of AI, ASD, Australian AI Safety Institute, dan Services Australia.

Tinjauan tersebut akan mengkaji kemungkinan langkah penegakan hukum serta perubahan regulasi. Pemerintah juga akan meminta masukan mendesak mengenai apakah terdapat pelanggaran hukum dan apakah kasus ini perlu dilimpahkan kepada Kepolisian Federal Australia (AFP). Insiden ini juga akan dibahas oleh Komite Seleksi Gabungan Parlemen untuk Kecerdasan Buatan (AI), dan pelajaran yang diperoleh pemerintah dari kejadian ini akan menjadi bahan pertimbangan dalam penyusunan rancangan undang-undang standar AI yang sedang direncanakan.

Sekarang, dengan bantuan AI, beberapa proses itu bisa dilakukan jauh lebih cepat.

Ai mempercepat seluruh siklus serangan :

Reconnaissance
↓
Mencari target
↓
Eksploitasi
↓
Mendapatkan akses
↓
Bergerak di dalam sistem
↓
Eksfiltrasi data

Yang dulu membutuhkan waktu lama, sekarang bisa dilakukan jauh lebih cepat.

Lalu, tim cyber security harus apa ?

Tenang jangan panik, Justru di sinilah tim Cyber Security harus ikut berkembang

AI bisa dimanfaatkan untuk membantu membaca log, mencari pola yang mencurigakan, memilah alert, sampai mempercepat proses investigasi ketika insiden terjadi.

AI dapat membantu SOC untuk:

24/7 Monitoring
↓
Threat Detection
↓
Alert Prioritization
↓
Threat Intelligence
↓
Incident Investigation
↓
Response

Tapi satu hal yang tetap penting:
AI boleh pintar, tapi keputusan tetap membutuhkan manusia.

Karena ketika sebuah sistem benar-benar diserang, kita bukan cuma butuh teknologi.

Kita butuh orang yang bisa berpikir cepat, membaca situasi, menentukan prioritas, dan mengambil keputusan yang tepat.

Jadi kalau attacker sudah mulai memanfaatkan AI…

Cyber Security Team juga harus belajar memanfaatkannya.

Bukan untuk menggantikan manusia, Tapi supaya kita bisa selangkah lebih siap

Banyak aplikasi nonton gratis tidak tersedia di toko aplikasi resmi seperti Google Play Store dan harus diunduh dari sumber tidak terpercaya. Ini meningkatkan risiko aplikasi tersebut telah dimodifikasi untuk menyusupkan malware, trojan, atau spyware. Beberapa bahaya utama dari aplikasi semacam ini meliputi:

1. Pencurian Data Pribadi
   Malware dalam aplikasi dapat mengakses informasi sensitif seperti kontak, pesan, foto, dan kredensial login.

2. Penyadapan Aktivitas Pengguna
   Spyware memungkinkan peretas untuk memantau aktivitas pengguna, termasuk data perbankan dan media sosial.

3. Kontrol Perangkat Jarak Jauh
   Beberapa aplikasi berbahaya dapat memberikan akses kendali jarak jauh kepada peretas, memungkinkan mereka untuk menginstal aplikasi lain, mengambil alih sistem, atau bahkan memformat perangkat.

4. Penyebaran Virus dan Trojan
   Trojan dalam aplikasi dapat mengunduh dan menginstal perangkat lunak berbahaya lainnya tanpa sepengetahuan pengguna.

Salah satu contoh aplikasi nonton gratis yang teridentifikasi berbahaya adalah xyz.play.iptvlite. Berdasarkan analisis dari Virus Total, aplikasi ini terdeteksi sebagai malware, trojan, dan spyware oleh beberapa vendor keamanan.

Izin Berbahaya dalam Aplikasi xyz.play.iptvlite:

• android.permission.READ_EXTERNAL_STORAGE → Mengakses dan membaca data dari penyimpanan eksternal.

• android.permission.WRITE_EXTERNAL_STORAGE → Menulis atau memodifikasi data di penyimpanan eksternal.

• android.permission.RECEIVE_BOOT_COMPLETED → Memungkinkan aplikasi berjalan otomatis setelah perangkat dinyalakan.

• android.permission.ACCESS_NETWORK_STATE → Memantau status jaringan.

• android.permission.INTERNET → Mengakses internet untuk mengirim dan menerima data.

Selain itu, aplikasi ini juga menggunakan perintah shell su, yang menunjukkan kemungkinan adanya upaya untuk mendapatkan hak akses root di perangkat pengguna. Jika perangkat telah di-root, aplikasi ini dapat memperoleh kontrol penuh atas sistem, meningkatkan risiko eksploitasi lebih lanjut.

Cara Melindungi Diri dari Aplikasi Berbahaya

Untuk menghindari risiko dari aplikasi nonton gratis yang berpotensi berbahaya, berikut beberapa langkah yang dapat dilakukan:

1. Hanya Unduh Aplikasi dari Sumber Resmi
   Pastikan selalu mengunduh aplikasi dari Google Play Store atau toko aplikasi resmi lainnya yang memiliki sistem verifikasi keamanan.

2. Periksa Izin Aplikasi
   Sebelum menginstal aplikasi, periksa izin yang diminta. Jika aplikasi nonton meminta izin yang tidak relevan seperti akses penyimpanan atau kendali perangkat, sebaiknya waspada.

3. Gunakan Antivirus atau Anti-Malware
   Instal perangkat lunak keamanan yang dapat mendeteksi dan menghapus malware serta spyware dari perangkat Anda.

4. Perbarui Sistem dan Aplikasi Secara Berkala
   Pembaruan sistem dan aplikasi sering kali mengandung perbaikan keamanan yang penting untuk melindungi perangkat dari serangan terbaru.

5. Hindari Memberikan Hak Akses Root
   Jangan melakukan root pada perangkat kecuali benar-benar diperlukan, karena hal ini dapat memberikan akses lebih besar bagi aplikasi berbahaya untuk mengeksploitasi sistem.

Meskipun aplikasi nonton gratis menawarkan kemudahan dalam menikmati konten hiburan, pengguna harus waspada terhadap risiko yang menyertainya. Kasus xyz.play.iptvlite menunjukkan bagaimana aplikasi semacam ini dapat menjadi ancaman serius bagi keamanan perangkat dan data pribadi. Oleh karena itu, selalu pastikan untuk mengunduh aplikasi dari sumber resmi, memeriksa izin aplikasi, serta menggunakan perangkat lunak keamanan untuk melindungi diri dari ancaman malware dan spyware.

Tetap waspada dan lindungi privasi Anda dari ancaman siber!

Sistem ini dikembangkan bekerja sama dengan tiga mahasiswa Universitas Pamulang yang melaksanakan kerja praktek di Bidang Sarpras TIK dan Persandian selama periode September hingga Desember 2024. Proyek ini menjadi langkah nyata dalam memenuhi standar keamanan informasi internasional ISO 27001:2022, sekaligus mendukung optimalisasi manajemen aset dan pengambilan keputusan berbasis data.

"Kehadiran sistem ini menjadi solusi yang sangat dibutuhkan untuk memastikan pengelolaan infrastruktur yang lebih terstruktur, aman, dan sesuai standar internasional. Selain itu, sistem ini dirancang agar fleksibel dan dapat digunakan sebagai alat bantu dalam pengambilan keputusan strategis," ujar Hary De Supardi selaku Katim Tata Kelola TIK.

Proses pengembangan sistem melibatkan kolaborasi aktif antara tim mahasiswa dan pihak internal Dinas Kominfo, memastikan setiap fitur yang dihadirkan mampu menjawab kebutuhan operasional secara spesifik. Dengan implementasi sistem ini, pengelolaan pusat data dan aset teknologi diharapkan lebih efisien, transparan, dan sesuai dengan prinsip tata kelola yang baik.

Sebagai bagian dari komitmen Dinas Kominfo Kota Tangerang dalam mendukung transformasi digital, sistem Manajemen Infrastruktur Pusat Data ini juga mencerminkan pentingnya sinergi antara dunia pendidikan dan pemerintah dalam menciptakan inovasi yang bermanfaat. Ke depan, sistem ini diharapkan menjadi model untuk pengelolaan infrastruktur teknologi di instansi lainnya. (AgungK)

Versi terbaru, CodeIgniter 4, dirancang dengan fitur modern seperti namespace, support untuk PHP 8+, dan arsitektur berbasis MVC (Model-View-Controller). Framework ini juga menyediakan mekanisme validasi data yang fleksibel, yang sayangnya menjadi celah keamanan dalam versi sebelum 4.3.5.

Pada 21 Mei 2023, ditemukan kerentanan kritis pada framework CodeIgniter 4, yang didaftarkan dengan kode CVE-2023-32692. Kerentanan ini berhubungan dengan fitur validasi yang tidak aman, di mana placeholder pada validasi dapat dieksploitasi oleh penyerang untuk menjalankan kode berbahaya. Kerentanan ini memiliki skor CVSS yang sangat tinggi yakni sebesar 9,8. Kerentanan ini memungkinkan serangan Remote Code Execution (RCE), di mana penyerang dapat mengeksekusi perintah berbahaya dari jarak jauh tanpa autentikasi. Semua versi Codeigniter 4 di bawah 4.3.5 memiliki kerentanan ini.

Remote Code Execution (RCE) adalah jenis serangan di mana penyerang dapat menjalankan kode berbahaya di sistem target dari jarak jauh. Biasanya, serangan RCE memanfaatkan celah pada input pengguna yang tidak tervalidasi atau sistem yang gagal menyaring data berbahaya dengan benar.

Dampak serangan RCE meliputi:

1. Pengambilalihan Server: Penyerang dapat mendapatkan akses penuh ke server.

2. Eksfiltrasi Data: Data sensitif dapat dicuri atau dimodifikasi.

3. Gangguan Operasi: Sistem dapat dimatikan atau dimanipulasi untuk tujuan tertentu.

4. Penyebaran Malware: Server yang terkena dapat digunakan untuk mendistribusikan malware atau ransomware.

LANGKAH MITIGASI

1. Perbarui ke CodeIgniter Versi > 4.3.5

Langkah paling sederhana dan efektif adalah memperbarui framework Anda ke versi 4.3.5 atau yang lebih baru. Versi ini telah memperbaiki kerentanan dengan mengamankan mekanisme validasi.

2. Terapkan Pengaturan Validasi dengan Array

Jika Anda belum bisa memperbarui framework, Anda dapat menerapkan mitigasi sementara dengan mengatur validasi menggunakan array eksplisit, seperti contoh berikut:

$validation->setRules([
    'email' => ['required', 'valid_email', 'is_unique[users.email,id,{id}]'],
]);

Pengaturan tersebut memastikan input pengguna divalidasi secara eksplisit, sehingga tidak ada data berbahaya yang dapat dieksekusi oleh sistem.

Sumber:

https://github.com/codeigniter4/CodeIgniter4/security/advisories/GHSA-m6m8-6gq8-c9fj

https://github.com/codeigniter4/CodeIgniter4/blob/develop/CHANGELOG.md

https://nvd.nist.gov/vuln/detail/CVE-2023-32692#range-15870744

Namun seiring berjalannya program ini, ada orang-orang yang tidak bertanggungjawab dalam memanfaatkannya untuk kejahatan siber. Beberapa bulan terakhir Tim CSIRT Kota Tangerang mengamati bahwa banyak sekali tautan yang disebarkan melalui sosial media maupun aplikasi perpesanan dengan narasi bahwa si penerima pesan berhak menerima bantuan sosial. Kemudian si pengirim pesan tersebut akan mengarahkan penerimanya ke sebuah tautan untuk memeriksa status bantuan sosial yang didapatkan.

Salah satu URL tautan yang berhasil didapatkan dan dianalisa oleh Tim CSIRT Kota Tangerang adalah hxxp://bantuan24[.]retusinfo[.]my[.]id. Berdasarkan analisa menggunakan VirusTotal, domain tersebut hanya terdeteksi oleh Trustwave sebagai “Phishing”. Dari hasil WHOIS, domain tersebut dibuat pada tanggal 2 Oktober 2024.

Selanjutnya, kami melakukan analisa lebih dalam dan didapatkan alamat IP serta hash dari halaman web. Alamat IP dari domain tersebut adalah 153[.]92[.]10[.]172 di mana IP tersebut pernah digunakan untuk mengkomunikasikan file bdcamsetup.exe dan 5beed314751e8c347c7d1dbd15df7ccca7f3b41276c2893b4eb415545e4df1e2 yang keduanya terdeteksi sebagai malware.

Lebih lanjut kami menganalisa hash dari halaman web hxxp://bantuan24[.]retusinfo[.]my[.]id. Jika mengunjungi halaman ini, web  akan menampilkan form yang mengharuskan korban memasukkan nama sesuai KTP dan nomor telepon.

Setelah memasukkan nama, nomor telepon dan klik tombol Cek Status, sebuah form tambahan yang meminta korban untuk memasukkan Kode OTP akan muncul. Berikut kode programnya.

Fungsi processFirstData() dijalankan ketika korban mengklik tombol Cek Status dan mengirimkan data form ke file firstData.php. Pada file ini, attacker akan mencoba masuk ke Telegram korban (jika ada) melalui nomor yang dimasukkan. Setelah itu, halaman web akan menampilkan pesan “Kami telah mengirimkan kode ke aplikasi Telegram Anda” sebagaimana potongan kode berikut.

Tentu hal ini sangat berbahaya apabila korban melanjutkan untuk memasukkan kode OTP karena hal ini dapat membuat akun telegram korban diambil alih oleh attacker. Kemudian jika korban memasukkan kode OTP dan mengklik tombol Lanjutnya, fungsi processSecondData() akan dijalankan yang akan mengirim data nama, nomor telepon, dan kode OTP ke file secondData.php pada server attacker.

Kemudian akan muncul form terakhir yang mengintruksikan korban memasukkan kata sandi meskipun opsional (bisa dikosongkan). Diduga form ini adalah usaha attacker  untuk mendapatkan otentikasi tambahan jika korban mengaktifkan otentikasi 2 faktor pada telegram. Apabila korban mengklik tombol Lanjutnya, fungsi processThirdData() akan dijalankan yang mengirim semua data ke server attacker.

Dengan mendapatkan nomor telepon dan kode OTP bahkan Kata Sandi otentikasi 2 faktor dari telegram korbannya, maka hal ini memungkinkan attacker mengambil alih akun telegram korban dan memanfaatkannya untuk tujuan yang berbahaya seperti menyebarkan kembali tautan phishing, penipuan mengatasnamakan korban, dan lain-lain.

Domain bantuan24[.]retusinfo[.]my[.]id juga bukan satu-satunya halaman yang berhasil kami deteksi. Domain induknya yakni retusinfo[.]my[.]id memiliki banyak subdomain yang berisikan web serupa.

Halaman tersebut juga mendapatkan skor 80% berbahaya dari Criminal IP dengan Probability of Phishing URL 99.45% yang bisa dilihat pada tautan berikut.

MITRE TACTIC & TECHNIQUE

Berikut ini visualisasi relasi dari domain tersebut.

Atau bsa dilihat pada collection berikut.

Pada tanggal 30 Oktober 2023, Security Joes menerbitkan penelitian tentang wiper baru yang digunakan terhadap perusahaan-perusahaan Israel selama perang Israel-Palestina. Nama file wiper ini adalah bibi-linux.out, dan ekstensi file yang dihapus adalah “.BiBi”.

BiBi Wiper dapat menerima parameter baris perintah seperti target_path (yang secara default adalah “/”). Wiper menggunakan beberapa utas, berdasarkan jumlah inti CPU, untuk proses penghapusan dan menggunakan antrean untuk menyinkronkan di antara utas-utas tersebut. Wiper kemudian merusak file-file tersebut dengan buffer data acak dan mengganti nama file yang terinfeksi dengan nama acak dan ekstensi “.BiBi” ([NAMA_ACAK].BiBi[NOMOR]).

Menariknya, BiBi Wiper tidak menginfeksi file dengan ekstensi “.out” dan “.so”, mungkin karena ia bergantung pada file-file dengan ekstensi tersebut (seperti bibi-linux.out) dan library lain yang penting untuk OS dan agar proses tetap berjalan.

Varian Windows dari wiper, yang juga diberi nama bibi.exe, ditemukan beberapa hari kemudian, yang menunjukkan alur yang serupa. Wiper bekerja dengan beberapa thread berdasarkan jumlah prosesor dan menghindari penghancuran file yang penting untuk operasinya (varian Windows tidak menghancurkan file .exe, .dll, dan .sys). Varian Windows juga mendapatkan argumen seperti target_path, dengan nilai default yang ditetapkan ke C:\\Users.

BiBi-Windows Wiper menunjukkan malware tersebut di-compile pada  21 Oktober 2023 menggunakan Visual Studio 2019, hanya 14 hari setelah perang Israel-Palestina dimulai. Sampel malware tersebut adalah Windows portable executable (PE) x64 dengan ukuran file 203 KB.

Jika berhasil dijalankan pada sistem operasi Windows, malware ini pertama kali akan memeriksa arsitektur prosesor dan jumlah threads sistem korbannya. Untuk tindakan penghancuran secepat mungkin, malware menjalankan 12 threads dengan delapan core prosesor. Selama eksekusi, wiper mengeluarkan hasilnya ke konsol.

Selama proses penghapusan, malware akan menjalankan perintah berikut:

1. cmd.exe /c vssadmin delete shadows /quIet /all

2. cmd.exe /c wmic shadowcopy delete

3. cmd.exe /c bcdedit / set {default} bootstatuspolicy ignoreallfailures

4. cmd.exe /c bcdedit /set {default} recoveryenabled no

Terakhir, BiBi-Windows Wiper menggunakan Restart Manager dan Rstrtmgr.dll untuk menjalankan proses hingga akhir.

Sampel terbaru dari malware ini juga memiliki kemampuan untuk menghapus partisi dan informasi partisi dari disk.

MITRE ATT&CK

 Yara Rules

Sumber

1. VirusTotal.com

2. Hybrid-Analysis.com

3. research.checkpoint.com

"Tampaknya ransomware Cicada3301 menargetkan usaha kecil hingga menengah (UKM), kemungkinan melalui serangan oportunistik yang mengeksploitasi kerentanan sebagai vektor initial access," kata perusahaan keamanan siber Morphisec dalam laporan teknis yang dibagikan kepada The Hacker News.

Ditulis dalam bahasa Rust dan mampu menargetkan host Windows dan Linux/ESXi, Cicada3301 pertama kali muncul pada bulan Juni 2024, mengundang calon afiliasi untuk bergabung dengan platform ransomware-as-a-service (RaaS) mereka melalui iklan di forum bawah tanah RAMP.

Aspek penting dari ransomware ini adalah bahwa file yang dapat dieksekusi menyematkan kredensial pengguna yang disusupi, yang kemudian digunakan untuk menjalankan PsExec, alat sah yang memungkinkan untuk menjalankan program dari jarak jauh.

Kesamaan Cicada3301 dengan BlackCat juga meluas ke penggunaan ChaCha20 untuk enkripsi, fsutil untuk mengevaluasi tautan simbolik dan mengenkripsi berkas yang dialihkan, serta IISReset.exe untuk menghentikan layanan IIS dan mengenkripsi berkas yang mungkin dikunci untuk modifikasi atau penghapusan.

BlackCat mencakup langkah-langkah yang dilakukan untuk menghapus shadow copy, menonaktifkan pemulihan sistem dengan memanipulasi utilitas bcdedit, meningkatkan nilai MaxMpxCt untuk mendukung volume lalu lintas yang lebih tinggi (misalnya, permintaan SMB PsExec), dan menghapus semua log event dengan memanfaatkan utilitas wevtutil.

Cicada3301 juga mengamati penghentian mesin virtual (VM) yang disebarkan secara lokal, perilaku yang sebelumnya diadopsi oleh ransomware Megazord dan ransomware Yanluowang, dan menghentikan berbagai layanan pencadangan dan pemulihan serta daftar lusinan proses yang ditulis secara hard-code.

Selain mempertahankan daftar bawaan berisi file dan direktori yang dikecualikan selama proses enkripsi, ransomware tersebut menargetkan total 35 ekstensi file - sql, doc, rtf, xls, jpg, jpeg, psd, docm, xlsm, ods, ppsx, png, raw, dotx, xltx, pptx, ppsm, gif, bmp, dotm, xltm, pptm, odp, webp, pdf, odt, xlsb, ptox, mdf, tiff, docx, xlsx, xlam, potm, dan txt.

Morphisec mengatakan penyelidikannya juga mengungkap alat tambahan seperti EDRSandBlast yang menjadikan driver yang ditandai rentan sebagai senjata untuk melewati deteksi EDR, sebuah teknik yang juga diadopsi oleh kelompok ransomware BlackByte di masa lalu. Temuan tersebut mengikuti analisis Truesec terhadap versi ESXi dari Cicada3301, sekaligus mengungkap indikasi bahwa kelompok tersebut mungkin telah bekerja sama dengan operator botnet Brutus untuk memperoleh akses awal ke jaringan perusahaan.

"Terlepas dari apakah Cicada3301 merupakan merek baru dari ALPHV, mereka memiliki ransomware yang ditulis oleh pengembang yang sama dengan ALPHV, atau mereka hanya menyalin bagian-bagian dari ALPHV untuk membuat ransomware mereka sendiri, kronologi tersebut menunjukkan bahwa kehancuran BlackCat dan kemunculan botnet Brutus terlebih dahulu dan kemudian operasi ransomware Cicada3301 mungkin semuanya saling terkait," kata perusahaan tersebut.

Serangan terhadap sistem VMware ESXi juga memerlukan penggunaan enkripsi intermiten untuk mengenkripsi file yang lebih besar dari ambang batas yang ditetapkan (100 MB) dan parameter bernama "no_vm_ss" untuk mengenkripsi file tanpa mematikan mesin virtual yang berjalan di host. Munculnya Cicada3301 juga telah mendorong "gerakan non-politik" yang menyandang nama yang sama, yang telah berkecimpung dalam teka-teki kriptografi "misterius", untuk mengeluarkan pernyataan bahwa gerakan ini tidak memiliki hubungan dengan skema ransomware.

Sumber: TheHackerNews.com

Bagaimana cara melindungi data pribadi?

Ada beberapa langkah yang bisa diambil untuk melindungi data pribadi:

1. Menggunakan kata sandi yang kuat

Pastikan kata sandi yang digunakan cukup kuat dengan campuran huruf besar, huruf kecil, angka, dan simbol agar tidak mudah ditebak.

2. Perbarui perangkat lunak secara teratur

Pastikan sistem operasi, perangkat lunak antivirus, dan aplikasi lainnya selalu diperbarui dengan versi terbaru untuk mengurangi risiko serangan peretas.

3. Hindari email dan lampiran yang mencurigakan

Jangan klik tautan atau buka lampiran dari pengirim yang tidak dikenal atau mencurigakan. Hal tersebut dapat mengandung virus yang dapat mencuri data pribadi.

4. Menggunakan VPN (Virtual Private Network)

Hindari mengakses informasi sensitif melalui jaringan publik yang tidak terenkripsi. Dengan menggunakan VPN, melindungi aktivitas secara online dari pihak lain.

5. Menerapkan enkripsi data

Enkripsi data bertujuan untuk mengubah informasi agar hanya dapat diakses oleh pihak yang memiliki kunci enkripsi tersebut.

6. Perhatikan privasi di media sosial

Atur pengaturan privasi di media sosial sehingga tidak ada celah penyalahgunaan informasi pribadi.

Itulah cara melindungi data pribadi yang dapat lakukan dari sekarang. Dengan melindungi data pribadi, hal tersebut akan terhindar dari kejahatan digital yang sedang marak, terutama pencurian data pribadi yang dapat merugikan.

Penulis: Nadin, Siswi SMK Negeri 3 Kota Tangerang
Editor: Muhammad Ridwan Na'im

Maka dari itu sobat obline harus bisa melindungi diri dengan baik di media sosial. Berikut adalah tips bermedia sosial yang benar:

1. Hindari membagikan data pribadi

Jangan mudah membagikan informasi pribadi di media sosial. Cobalah mengamankan data pribadi dengan sistem backup.

2. Menjaga etika berbahasa

Dalam beretika berbahasa yang baik tidak hanya diperlukan saat di kehidupan nyata saja namun di media sosial juga perlu diterapkan.

3. Tidak menyebarluaskan informasi tidak benar.

Informasi yang tidak benar merupakan pemicu nyata bahaya perpecahan dan kehancuran bagi kehidupan bermasyarakat. Hal ini dapat merugikan diri sendiri serta orang sekitar.

4. Mengelola waktu yang baik

Jangan terlalu terbuai akan media sosial. Terkadang media sosial bisa dengan mudah mengganggu waktu produktif yang dimiliki.

5. Pastikan informasi yang akan diterima

Penting untuk memilah apa yang diterima. Jika informasi tidak sesuai yang diinginkan, lebih baik tidak dilanjutkan/digunakan karena akan menimbulkan hal yang tidak diinginkan.

Penulis: Grace, Siswi SMK Negeri 3 Kota Tangerang
Editor: Muhammad Ridwan Na'im

Kerja sama ini difokuskan pada implementasi Security Operation Center (SOC) yang akan membantu melindungi data dan informasi yang ada pada sistem elektronik Pemkot Tangerang. SOC ini diharapkan dapat meningkatkan keamanan siber dan memberikan perlindungan optimal terhadap berbagai ancaman digital yang semakin kompleks.

Kepala Dinas Komunikasi dan Informatika (Kominfo) Kota Tangerang, Indri Astuti, menyatakan rasa syukur dan apresiasinya atas dukungan dari SGU. "Alhamdulillah, SGU sangat aktif memberikan edukasi dan mendukung keamanan siber yang telah dilakukan oleh Pemerintah Daerah dan organisasi lainnya. Selain itu, perjanjian kerja sama (PKS) ini menjadi tindak lanjut dari Memorandum of Understanding (MoU) sebelumnya yang telah disepakati," ujar Indri.

Selain itu, Direktur Lembaga Penelitian dan Pengabdian Masyarakat SGU, James Purnama, menjelaskan lebih lanjut tentang kontribusi SGU dalam kerja sama ini. "Dengan respons yang sangat baik dari Pemkot Tangerang, nantinya SGU akan memberikan workshop kepada para Aparatur Sipil Negara (ASN) tentang SOC dan membantu melindungi keamanan siber pada 224 aplikasi di Kota Tangerang," kata James.

Workshop yang akan diberikan oleh SGU bertujuan untuk meningkatkan pemahaman dan keterampilan ASN dalam mengoperasikan dan mengelola SOC. Diharapkan, dengan adanya pelatihan ini, para ASN dapat lebih siap dalam menghadapi dan mengatasi berbagai ancaman siber yang mungkin terjadi.

Kerja sama ini merupakan langkah konkret dalam memperkuat infrastruktur keamanan siber Pemkot Tangerang, yang akan berdampak positif pada keamanan data dan pelayanan publik yang lebih baik.

1. Manajer Kata Sandi
   Manajer kata sandi adalah alat yang menyimpan dan mengelola semua kata sandi Anda dengan aman dan mampu menghasilkan kata sandi yang kuat untukmu. Beberapa contoh populer dari aplikasi manajer kata sandi adalah LastPass, 1Password, dan Bitwarden.
    

2. Periksadata.com
   Periksadata.com adalah sebuah situs yang memungkinkan kamu melakukan pelacakan apakah kamu telah menjadi korban kebocoran data atau tidak berdasarkan email yang kamu masukkan. Periksadata.com akan memberikan kamu informasi mengenai dari mana sumber kebocoran data, kapan, apa saja data pribadimu yang bocor, dan memberikan rekomendasi untuk kamu apabila telah menjadi korban kebocoran data.
    

3. Virustotal.com
   Virustotal.com adalah sebuah aplikasi yang memungkinkan kamu menganalisa alamat IP, alamat URL, dan file yang kamu curigai sebagai malware. Dengan aplikasi ini kamu juga bisa mengetahui keterkaitan antara sampel yang kamu kirim dengan malware lainnya yang telah berhasil diidentifikasi oleh Virustotal. Kamu juga bisa mempelajari bagaimana malware yang kamu kirim bekerja pada perangkat korbannya. 
    

4. Aduannomor.id
   AduanNomor.id merupakan situs resmi dari Kementerian Komunikasi dan Informatika Republik Indonesia yang difungsikan sebagai portal untuk menerima aduan masyarakat terkait penyalahgunaan nomor seluler yang digunakan untuk penipuan.  Untuk melaporkan sebuah nomor kamu wajib melampirkan bukti pendukung berupa capture SMS, rekaman percakapan atau bukti pendukung lainnya yang berkaitan dengan tindakan penipuan tersebut dan disertai dengan identitas pelapor yang benar. 
    

5. Cekrekening.id
   CekRekening.id adalah Situs Resmi dari Kementerian Komunikasi dan Informatika Republik Indonesia yang difungsikan sebagai portal untuk melakukan pengumpulan database rekening bank diduga terindikasi tindak pidana ITE. Melalui situs ini, kamu dapat berpartisipasi dan membantu sesama pengguna transaksi elektronik demi menciptakan lingkungan e-commerce yang sehat, aman, dan nyaman.
    

6. Aplikasi MFA (Multi Factor Authentication)
   MFA (Multi-Factor Authentication) adalah metode keamanan yang mengharuskan pengguna untuk memasukkan dua atau lebih faktor otentikasi sebelum diizinkan mengakses akun atau sistem. Dengan kata lain, MFA menambahkan lapisan keamanan ekstra untuk memastikan bahwa hanya pemegang yang sah dari akun atau perangkat yang diizinkan mengaksesnya.  Contoh Aplikasi MFA di antaranya adalah: Google Authenticator, Authy, YubiKey, dan LastPass Authenticator.

"The creation of dynamic properties on classes that aren't marked with the #[AllowDynamicProperties] attribute is deprecated in PHP 8.2 and becomes an Error exception in PHP 9.0. All used properties should be declared in the class declaration." (PHP)

Dynamic properties adalah kemampuan pada PHP yang memungkinkan pengembang menambahkan properti baru ke dalam objek pada saat runtime. Hal ini membuat pengembang tidak perlu mendefinisikan semua properti sebuah objek di awal saat membuat kelas. Pengembang dapat menambahkan properti baru ke dalam objek tersebut sesuai kebutuhan. Kemampuan ini banyak sekali dipakai oleh sistem Codeigniter 3 seperti untuk memuat controller, library, dan model.  Setiap pengembang memuat controller, library, atau model, Codeigniter akan membuat dynamic property untuk setiap Class tersebut. Sehingga apabila aplikasi dijalankan pada PHP 8.2, akan menyebabkan error seperti berikut.

PHP beralasan bahwa perubahan ini untuk mencegah kesalahan (akibat kesalahan penulisan maupun perubahan nama) dan karena dynamic properties itu sendiri menyebabkan PHP tidak bisa mendeteksi error atau tidak bisa mendeteksi kesalahan.

Sebenarnya error ini bisa disembunyikan dengan mengaktifkan environment production atau disable deprecated message. Namun ada permasalahan lain yang perlu diperhatikan. Codeigniter versi terbaru yaitu 3.1.13, hanya berjalan dengan lancar pada PHP 8.1.x. Sementara dukungan untuk PHP 8.1 berakhir pada 25 November 2023 dan dukungan patching hingga 25 November 2024. Codeigniter 3 juga mulai jarang melakukan update atau patch terhadap bug. Hal ini bisa dilihat pada repositori github bcit/Codeigniter. Dapat terlihat grafik yang relaitf landai dan terdapat 25 issue yang belum ditutup.

Maka sangat penting bagi pengguna atau organisasi yang masih menggunakan Codeigniter 3 sebagai framework PHP agar segera melakukan migrasi ke framework yang lebih modern untuk meningkatkan performa dan menjaga agar sistemnya tetap aman. Sebagai alternatif, Codeigniter sendiri telah merilis Codeigniter versi 4 yang secara arsitektur mungkin berbeda jauh dengan Codeigniter 3. Pengembang yang biasa menggunakan Codeigniter bisa menggunakan framework ini karena sama-sama memiliki performa yang bagus dan dokumentasi yang cukup jelas.

Penggunaan software bajakan adalah praktik yang melibatkan penggunaan perangkat lunak tanpa izin resmi atau keharusan membayar lisensi. Hal ini merupakan pelanggaran hak cipta dan berdampak negatif pada pemilik software, industri IT, dan bahkan pengguna akhir. Kondisi ini diperparah dengan mudahnya pengguna mencari software bajakan yang tersebar luas di internet.

Pada kesempatan kali ini, tim CSIRT-TangerangKota akan membahas ancaman siber di balik penggunaan software bajakan.

1. Malware dan Virus

Software bajakan seringkali disertai dengan file atau keygen yang mengandung malware atau virus. Ketika pengguna mengunduh dan menginstal software bajakan, mereka mungkin tidak menyadari bahwa mereka juga mengunduh malware yang dapat merusak sistem mereka.

2. Ransomware

Ransomware adalah jenis malware yang mengenkripsi data pengguna dan meminta pembayaran tebusan untuk mendapatkan kunci dekripsi. Pengguna software bajakan cenderung menjadi target yang baik bagi para penjahat siber karena mereka mungkin memiliki kerentanan keamanan yang tidak ter-patch atau sistem yang tidak terlindungi.

3. Pencurian Identitas

Software bajakan sering kali meminta pengguna untuk mengisi informasi pribadi atau informasi login. Informasi ini kemudian dapat disalahgunakan untuk pencurian identitas atau serangan phishing.

4. Kerentanan Keamanan

Software bajakan seringkali tidak mendapatkan pembaruan keamanan terbaru, yang berarti mereka dapat memiliki kerentanan keamanan yang dikenal. Penyerang dapat dengan mudah mengeksploitasi kerentanan ini untuk mengakses sistem pengguna.

5. Kontrol Terhadap Sistem

Penyedia software bajakan dapat memasukkan pintu belakang (backdoor) ke dalam software mereka. Ini memungkinkan mereka untuk mengendalikan sistem pengguna, mengakses data, atau bahkan mengaktifkan fungsi pengintaian.

6. Kehilangan Data

Karena software bajakan mungkin tidak stabil atau tidak terjamin, pengguna dapat mengalami kehilangan data yang signifikan. Ini bisa disebabkan oleh crash sistem atau kerentanan yang menyebabkan hilangnya data.

7. Masalah Hukum

Penggunaan software bajakan adalah pelanggaran hak cipta dan dapat mengakibatkan tuntutan hukum, denda, atau sanksi lainnya jika ketahuan. Hal ini juga dapat merusak reputasi individu atau perusahaan.

8. Ketidaksetaraan Keamanan

Penggunaan software bajakan dapat mengakibatkan ketidaksetaraan keamanan antara pengguna yang menggunakan software bajakan dan pengguna yang membayar lisensi resmi. Penggunaan software bajakan dapat membuat pengguna lebih rentan terhadap serangan siber.

Menggunakan software resmi adalah solusi agar terhindar dari ancaman di atas. Apabila pengguna tidak mampu untuk membayar lisensi, saat ini telah banyak software open source dan gratis sebagai alternatif software berbayar. Selain itu, penting untuk menjadi sadar akan risiko yang terkait dengan software bajakan dan berupaya untuk mendukung ekosistem perangkat lunak yang legal dan aman.

Network sniffing adalah sebuah aktivitas memantau lalu lintas data yang mengalir melalui jaringan komputer atau internet. Aktivitas ini bisa dilakukan menggunakan software khusus yang disebut sniffer atau packet analyzer. Dengan software tersebut, seseorang bisa menganalisa paket data yang dikirim melalui jaringan, termasuk kata sandi, informasi pribadi, dan informasi sensitif lainnya. Dengan kata lain, network sniffing adalah teknik penyadapan (eavesdropping) dalam internet.

Dilansir dari situs EC Council - “What are  sniffing attacks, and how can they be prevented”. Ada dua jenis serangan sniffing, yaitu active sniffing dan passive sniffing. Dalam serangan active sniffing, peretas akan mengirimkan paket buatan ke satu atau lebih target di jaringan untuk mengekstrak data sensitif. Paket yang dibuat tersebut memungkinkan peretas melewati langkah-langkah keamanan yang seharusnya melindungi data agar tidak disadap. Teknik ini juga dapat melibatkan injeksi kode berbahaya ke dalam sistem target yang memungkinkan penyerang mengambil kendali atau mencuri informasi sensitif.

Sedangkan dalam passive sniffing, peretas hanya memonitor lalu lintas data yang melewati jaringan tanpa mengganggu dengan cara apapun. Teknik ini biasa digunakan dalam tahap information gathering (pengumpulan informasi) tentang target di jaringan dan jenis data misalnya, kredensial login atau isi surat elektronik (email) yang dikirimkan.

Teknik ini cukup berbahaya karena dapat mengakibatkan dampak mulai dari bocornya data sensitif dari korban, injeksi kode berbahaya ke sistem korban, pengungkapan informasi rahasia, hingga rusaknya reputasi korban.

Namun, teknik kejahatan ini bukan berarti tidak bisa dicegah dan diminimalisir. Sebagai langkah mitigasi, berikut hal yang bisa anda lakukan:

1. Selalu gunakan koneksi internet yang aman, terutama saat mengakses informasi sensitif. Pastikan Anda terhubung melalui HTTPS dan jaringan yang aman.

2. Jangan melakukan transaksi keuangan, masuk ke akun apapun, atau mengirim data sensitif melalui hotspot publik.

3. Selalu pastikan perangkat lunak keamanan Anda dan sistem operasi diperbarui dengan versi terbaru untuk melindungi dari kerentanan yang telah diatasi.

4. Apabila anda ingin mengakses sumber daya di perusahaan anda dari luar, selalu gunakan Virtual Private Network (VPN) yang disediakan perusahaan anda untuk menghindari penyadapan atau sniffing.

5. Aktifkan firewall dan antivirus pada perangkat Anda untuk memblokir akses yang tidak sah.

6. Gunakan enkripsi end-to-end saat mengirim data sensitif.

Phishing  adalah tindakan penipuan daring yang bertujuan untuk memperoleh informasi pribadi, seperti kata sandi, nomor kartu kredit, atau informasi keuangan lainnya, dengan menyamar sebagai entitas tepercaya. Hal ini sering dilakukan melalui pesan palsu, email palsu, atau situs web palsu yang dirancang sedemikian rupa sehingga mereka tampak sangat mirip dengan entitas resmi atau terpercaya. Tujuannya adalah untuk memikat korban agar memberikan informasi sensitif mereka dengan sukarela atau mengunduh program berbahaya yang telah mereka siapkan.

Salah satu media penyebaran phishing adalah melalui email. Maka dalam kesempatan kali ini, Tim CSIRT Tangerang Kota akan membahas bagaimana cara menganalisa suatu email apakah berbahaya atau tidak, khususnya pada email yang masuk ke Layanan Email Kota Tangerang.

Cara menganalisa sebuah email pada Layanan Email Kota Tangerang bisa dilakukan dengan cara berikut:

1. Pilih email yang akan dianalisa

2. Lalu klik tombol Action

3. Klik Show Original

Sebuah jendela browser terbuka berisi header dari email tersebut. Kemudian salin header tersebut untuk dianalisa. Salah satu alat yang bisa digunakan untuk menganalisa adalah https://mxtoolbox.com/EmailHeaders.aspx. Lalu paste header yang telah disalin ke form mxtoolbox lalu klik Analyze Header. Tunggu hingga proses analisa selesai.

Dari hasil analisa di atas terbukti bahwa email tersebut masuk dalam blacklist karena dianggap spam. Selain itu, apabila pada email terdapat link, kita juga bisa menganalisa link atau URL tersebut menggunakan https://virustotal.com .

Cara melakukannya adalah klik kanan pada link tersebut, lalu Copy Link atau Salin Tautan, kemudian kunjungi https://www.virustotal.com/gui/home/url dan paste link tersebut. Tunggu hingga proses analisa selesai.

Dari link yang dianalisa, dapat diketahui bahwa link terdeteksi terkait dengan aktivitas phishing oleh provider BitDefender, Trustwave, dan Fortinet. Apabila ingin mengetahui hasil analisa lebih lengkap, bisa klik menu DETAILS.

Pada menu DETAILS ini kita bisa melihat response header dan hash dari halaman yang ditampilkan ketika mengunjungi link tersebut. Klik hash dari body untuk analisa lebih lanjut.

Dari hasil analisa hash menunjukkan bahwa halaman tersebut berbahaya karena merupakan phishing. Tercatat dari link yang dianalisa, 27 provider menyatakan bahwa halaman tersebut mengandung aktivitas phishing, malware, trojan, dan lain-lain.

Terakhir, kami menghimbau kepaa pengguna email khususnya Layanan Email Kota Tangerang unuk berhati-hati ketika mendapatkan email tidak dikenal yang mengharuskan mengunduh atau mengunjungi URL tertentu meskipun dari hasil analisa menunjukkan header email tidak berbahaya. Jangan pernah mengirimkan data seperti kredensial akun, data pribadi, dan data sensitif lainnya ke website yang tidak terpercaya. Apabila anda khususnya pegawai Pemerintah Kota Tangerang ragu-ragu terhadap email yang anda terima atau ingin bertanya lebih lanjut mengenai keamanan siber, silakan berkonsultasi dengan tim CSIRT Kota Tangerang di Dinas Komunikasi dan Informatika Kota Tangerang baik secara langsung atau melalui email csirt[at]tangerangkota[.]go[.]id.

Selain menimbulkan dampak kecanduan dan dampak sosial lainnya, ancaman yang mungkin saja ditimbulkan dari bermain judi online adalah ancaman terhadap data pribadi. Data pribadi dari pengguna judi online sangat rentan untuk diperjualbelikan. Hal ini karena aplikasi judi online sifatnya ilegal dan tidak tersedia pada platform resmi seperti Play Store maupun App Store. Beberapa judi online hanya menyediakan jasa melalui situs (tanpa aplikasi) mobile. Selain ilegal, kebijakan privasi pada judi online tidak jelas sehingga data pengguna bisa saja disalahgunakan. Bukan tidak mungkin penyedia jasa judi online melakukan jual-beli data penggunanya dengan platform judi online lain untuk memperluas jangkauan mereka.

Tidak menutup kemungkinan juga bagi penyedia layanan judi online untuk mencuri data penggunanya seperti kontak dan informasi sensitif lainnya melalui aplikasi versi mobile mereka. Sehingga dampak ini akan meluas ke kerabat atau orang lain yang berhubungan dengan pemain judi online tersebut.

Maka penting bagi masyarakat Indonesia untuk tidak lagi bermain judi online. Selain melanggar ketentuan hukum, dampak yang ditimbulkan bagi pengguna dan orang-orang di sekitarnya tidak bisa dianggap sebagai hal yang remeh.

Salah satu tindak kejahatan siber yang menyasar pengguna smartphone adalah Juice Jacking. Juice Jacking adalah sebuah teknik peretasan dengan memanfaatkan fasilitas pengisian daya yang sudah menyediakan kabel atau port USB siap pakai untuk publik dan sudah dimodifikasi. Teknik yang mulai berkembang sejak tahun 2011 ini memungkinkan peretas dapat mencuri atau memasang perangkat lunak berbahaya pada smartphone korbannya yang terhubung pada fasilitas pengisian daya tersebut.

Vektor dari serangan ini adalah USB port dengan memanfaatkan kelemahan korban yang membutuhkan pengisian daya smartphone-nya secara gratis. Korban yang tidak waspada akan lebih memilih kabel USB yang disediakan peretas atau kabel pribadi yang mendukung transfer data.

Menurut perusahaan antivirus Malwarebytes, jenis malware yang bisa dipasang pada smartphone korban bisa berupa adware, cryptominers, ransomware, spyware, atau trojan. “Faktanya, malware Android saat ini sama serbagunanya dengan malware yang ditujukan untuk sistem Windows.”, tulis Malwarebytes dalam artikelnya.

Malware ini akan terpasang tanpa sepengetahuan korbannya. Korban akan menyadari bahwa smartphone-nya telah diretas apabila terjadi aktivitas mencurigakan seperti transfer uang dengan sendirinya, data hilang, akun sosmed diretas, muncul banyak iklan dan sebagainya (tergantung jenis malware yang dipasang).

Maka dari itu, penting bagi pengguna smartphone untuk memperhatikan hal-hal berikut ini agar tidak menjadi korban juice jacking.

1. Hindari pengisian daya menggunakan port USB di tempat publik, gunakan catu daya listrik AC sebagai gantinya.

2. Menggunakan pengisian daya portabel (power bank) sendiri.

3. Gunakan kabel USB dengan tipe charging only untuk menghindari transfer data ketika mengisi daya

4. Apabila hanya ada kabel USB yang mendukung transfer data, pastikan ketika notifikasi USB pada smartphone muncul, anda memilih “Hanya isi”.

Sumber:

• https://www.malwarebytes.com/blog/news/2019/11/explained-juice-jacking

• https://krebsonsecurity.com/2023/04/why-is-juice-jacking-suddenly-back-in-the-news/

• https://twitter.com/FBIDenver/status/1643947117650538498

• https://www.wallofsheep.com/pages/juice

TangerangKota-CSIRT akan merangkum beberapa poin penting terkait dengan, bagaimana alur serangan web defacement terjadi, dan bagaimana cara melakukan penanggulangan dan pemulihan atas insiden yang terjadi serta bagaimana cara mitigasi untuk meminimalisir kemungkinan terkena serangan Web Defacement pada sebuah website.

Web defacement merupakan suatu serangan pada website yang mengubah tampilan asli atau konten dari sebuah website. Pelaku serangan web defacement disebut sebagai defacer. Web defacement seringkali dimanfaatkan untuk menguji kemampuan defacer dan sebagai tindakan vandalisme elektronik. Web defacement dapat juga dimanfaatkan untuk kepentingan agenda politik, karena dapat menurunkan reputasi atau kredibilitas dari pihak tertentu.

Serangan web defacement dapat dilakukan dengan memanfaatkan sebuah kelemahan dari sistem sehingga memungkinkan pelaku memiliki akses masuk hingga ke server dan memiliki kewenangan untuk mengganti atau menghapus konten dari suatu website. Terdapat berbagai metode untuk melakukan web defacement, cara yang umum dijumpai yaitu eksploitasi pada kerentanan framework seperti SQL Injection yang memungkinkan akses administratif pada website, Cross-site scripting (XSS), serta kerentanan seperti Remote code execution (RCE).

Web defacement belakangan ini marak terjadi pada situs milik pemerintah dan pendidikan, terutama web defacement judi online. Insiden ini terdeteksi cukup masif hingga menyebabkan banyaknya situs pemerintah dan pendidikan yang terdampak. Dampak nyata dari web defacement judi online yaitu, situs yang terinfeksi akan menampilkan halaman selayaknya situs judi online. Salah satu alasan hal tersebut banyak menyasar situs milik pemerintah dan pendidikan diindikasikan sebagai cara untuk menghindari situs di-block oleh pihak berwenang.

Resiko atau Dampak
Dampak yang ditimbulkan jika website yang dikelola mengalami serangan web defacement.

1. Reputasi, tampilan halaman judi online yang tidak pantas atau ilegal pada situs terdampak akan menciptakan kesan negatif terhadap integritas organisasi / lembaga terkait.

2. Kepercayaan, masyarakat akan meragukan keamanan dan keandalan situs pemerintahan atau yg terdampak, serta kemampuan pemerintah atau yang terdampak dalam melindungi data sensitif dan informasi publik.

3. Ketersediaan, defacement dapat menyebabkan gangguan pada layanan yang disediakan oleh situs pemerintah serta dapat menyebabkan ketidaknyamanan dan ketidakpuasan masyarakat terhadap lembaga pemerintah.

Alur Serangan Web Defacement

Penjelasan

1. Initial Access, penyerang melakukan upaya dalam memanfaatkan kerentanan dan kesalahan pada konfigurasi untuk dapat masuk kedalam suatu sistem. Pada prakteknya, Web defacement judi online umumnya teridentifikasi memanfaatkan Exploit Vulnerability Apps dan Brute Force Attack untuk masuk ke dalam suatu sistem yang telah ditargetkan.

2. Pada vulnerability apps yang pertama yaitu, XSS Vulnerability, Penyerang memanfaatkan kerentanan XSS untuk melakukan injection payload XSS dengan tujuan untuk menyisipkan malicious script judi online (html/javascript) sehingga script tersebut akan tertanam pada salah satu halaman dari legitimate website, yang secara otomatis ketika diakses oleh pengguna layanan, akan tereksekusi dan menampilkan halaman judi online.

3. Kerentanan kedua yaitu File Upload Vulnerability, penyerang memanfaatkan kerentanan file upload yang tidak menerapkan filtering dan sanitasi dengan baik, sehingga penyerang dapat melakukan upload webshell atau malicious code kedalam server korbannya.

4. Kerentanan ketiga yaitu PHP Unit Vulnerability, penyerang sering memanfaatkan kerentanan PHP Unit yang dapat berdampak pada celah yaitu remote code execution, sehingga penyerang akan melakukan instalasi backdoor atau webshell pada web korbannya.

5. Kerentanan ke empat yang umumnya sering dimanfaatkan untuk mengambil alih web korbannya adalah SQL Injection, kerentanan SQL Injection juga menjadi salah satu attack vector yang sering dimanfaatkan penyerang dalam melakukan defacement judi online. Kredensial berupa username/password yang didapatkan dari proses SQL Injection dapat digunakan untuk melakukan login pada web apps bahkan kedalam sistem korbannya.

6. Brute Forece Login, penyerang sering kali melakukan usaha lain berupa brute force attack pada aplikasi dan juga pada layanan remote access yang diaktifkan (SSH). Dalam beberapa kasus diketahui bahwa brute force terjadi karena penggunaan password yang tidak terlalu kuat (Guessable), sehingga dapat dengan mudah dilakukan brute force attack. Contoh penggunaan password yang lemah dan sering kali masih dijumpai antara lain, 12345, password, admin dan sebagainya.

Execution
Penyerang akan melakukan aktivitas pada server korbannya untuk dapat melakukan penyisipan script judi online, beberapa aktivitas yang dilakukan antara lain:

1. Remote Execution, penyerang memanfaatkan backdoor yang telah tertanam pada server untuk melakukan remote code execution seperti melakukan pembuatan akun, melakukan upload webshell atau malicious code kedalam server korbannya untuk maintaining access, serta membuat file-file deface judi online.

2. Upload script Judi Online dan Google Index, penyerang akan melakukan modifikasi pada file .htaccess untuk mengizinkan beberapa file webshell untuk dapat diekseskusi pada folder-folder yang telah ditentukan oleh si penyerang. Kemudian penyerang akan membuat folder Slot-Gacor yang berisi file seperti index.php dan Google Indexing, dengan tujuan supaya akan tampil paling atas ketika di cari melalui laman mesin pencarian Google.

Persistence
Penyerang melakukan mekanisme persistence access untuk memastikan akses mereka terhadap server korban tetap tersedia. Berikut beberapa mekanisme persistence yang terjadi pada defacement judi online,

1. Backdoor/Webshell, penyisipan dan upload backdoor atau webshell sering ditemukan pada insiden web defacement. Penyerang memanfaatkan webshell sebagai pintu untuk masuk kembali kedalam server korbannya. Umumnya webshell memiliki ekstensi file php seperti, php, php2, php3, php4, php5, php6, php7, phps, phps, pht, phtm, phtml, pgif, shtml, .htaccess, phar, inc, hphp, ctp, module.

2. Process dan Service, pada beberapa kasus dijumpai bahwa penyerang juga melakukan persistence dengan membuat malicious proses dan service yang nantinya akan secara terus-menenus berjalan untuk memastikan bahwa tampilan judi online tidak dapat dihapus oleh sistem administrator web apps. Ketika folder Slot-Gacor dihapus, secara otomatis services dan process akan melakukan generate folder dan isinya kembali. Services yang ditemukan pada insiden defacement judi online antara lain jj.service, ii.srevice, dan cahce-l.service.

Sumber: Badan Siber dan Sandi Negara (BSSN)

Mikrotik menggunakan RouterOS yang berbasis linux sebagai sistem operasinya untuk mengelola dan mengkonfigurasi berbagai fitur jaringan. Saat ini versi stable dari RouterOS adalah 7.10.2. Namun masih banyak pengguna mikrotik yang belum meng-upgrade RouterOS ini bahkan menggunakan versi yang diketahui memiliki kerentanan.

“Hingga versi 6.49.8 (20 Juli 2023), MikroTik RouterOS versi long-term rentan terhadap CVE-2023-30799. Penyerang jarak jauh dan terotentikasi dapat menggunakan kerentanan untuk mendapatkan shell root pada router.”  (vulncheck.com)

CVE-2023-30799 pertama kali diungkapkan (tanpa CVE) pada Juni 2022 di REcon oleh karyawan Margin Research, Ian Dupont dan Harrison Green. Saat itu, mereka merilis eksploit bernama FOISted yang bisa mendapatkan root shell pada virtual machine RouterOS x86. CVE ditugaskan pada 19 Juli 2023 ketika peneliti VulnCheck menerbitkan eksploit baru yang dapat mengeksploitasi arsitektur MIPS dengan melakukan pengembangan pada FOISted.

Kerentanan berdampak critical ini (Skor CVS 9.1) terdapat pada MikroTik RouterOS long-term hingga 6.48.7 dan MikroTik RouterOS stable hingga 6.49.6. Namun, masih banyak pengguna mikrotik yang belum melakukan upgrade RouterOSnya ke versi terbaru. Bahkan versi long-term 6.48.6 yang memiliki kerentanan ini menjadi versi paling banyak di gunakan di dunia per 4 Agustus 2023.

MikroTik telah mengetahui masalah ini selama beberapa waktu. Pada Oktober 2022, mereka memperbaiki masalah di RouterOS stable (6.49.7). Mereka menuliskan salah satu log perubahannya:

*) system - improved handling of user policies;

Meskipun CVE-2023-30799 memerlukan autentikasi, sangat mudah bagi penyerang yang memiliki akses admin untuk melakukan privilege escalation menjadi superadmin sehingga kerentanan ini tidak bisa diabaikan dan sangat berbahaya. Vulncheck menambahkan, eksploit FOISted hanya berjalan pada RouterOS x86 yang paling sedikit digunakan. Mungkin inilah yang membuat respon mikrotik agak lamban dalam menangai kerentanan ini.  FOISted akan mendapat lebih banyak perhatian jika dikembangkan untuk perangkat keras MikroTik dengan arsitektur MIPSBE, MIPSLE, ARM, atau PowerPC yang lebih banyak digunakan.

Demonstrasi CVE-2023-30799 bisa dilihat pada video berikut:

“Kerentanan keamanan di Zimbra Collaboration Suite Versi 8.8.15 yang berpotensi memengaruhi kerahasiaan dan integritas data Anda telah muncul. Kami menanggapi masalah ini dengan sangat serius dan telah mengambil tindakan segera untuk mengatasi masalah tersebut.” , tulis Zimbra pada blognya.

Sebagai bagian dari serangan XSS, peretas dapat mencuri informasi sensitif pengguna atau mengeksekusi kode berbahaya pada sistem yang rentan. Sementara Zimbra tidak mengungkapkan bahwa bug tersebut digunakan dalam serangan, Maddie Stone dari Google TAG kemarin mengungkapkan bahwa kerentanan XSS ditemukan saat sedang dieksploitasi dalam serangan yang ditargetkan.

Meskipun Zimbra belum menyediakan tambalan keamanan untuk mengatasi zero-day yang dieksploitasi secara aktif ini, Zimbra menyediakan perbaikan yang dapat diterapkan admin secara manual untuk menghapus vektor serangan.

"Untuk mempertahankan tingkat keamanan tertinggi, kami dengan hormat meminta kerja sama Anda untuk menerapkan perbaikan secara manual pada semua node kotak surat Anda," kata perusahaan itu.

Prosedur yang diperlukan untuk mengurangi kerentanan di semua node mailbox secara manual mengharuskan admin melakukan langkah-langkah berikut:

1. Lakukan backup terhadap file /opt/zimbra/jetty/webapps/zimbra/m/momoveto

2. Buka file tersebut lalu cari baris ke 40 di mana terdapat kode sumber yang rentan. Kode tersebut terlihat seperti berikut:

<input name="st" type="hidden" value="${param.st}"/>

3.  Lalu ubah kode tersebut menjadi:

<input name="st" type="hidden" value="${fn:escapeXml(param.st)}"/>

4. Atau anda bisa membuat sebuah shell script seperti berikut:

#!/bin/sh
momoveto=/opt/zimbra/jetty/webapps/zimbra/m/momoveto
#momoveto=/tmp/momoveto
grep -q 'fn:escapeXml(param.st)' $momoveto
if [ $? -eq 1 ]; then
   cp $momoveto $momoveto.bak
   echo "Appying patch to $momoveto"
#     <input name="st" type="hidden" value="${param.st}"/>
   sed -i -e 's,    <input name="st" type="hidden" value="${param.st}"/>,    <input name="st" type="hidden" value="${fn:escapeXml(param.st)}"/>,g' $momoveto
else
   echo "nothing to patch"
fi

5. Jika anda pengguna ansible, bisa menerapkan kode berikut:

- name: fix XSS in /m/momoveto (ZBUG-3490)
   replace:
     path: /opt/zimbra/jetty/webapps/zimbra/m/momoveto
     path: /opt/zimbra/jetty/webapps/zimbra/m/momoveto
     regexp: '\${param.st}'
     replace: '${fn:escapeXml(param.st)}'

Penyertaan fungsi escapeXml() akan melakukan sanitasi data yang dimasukkan pengguna dengan melakukan escaping special characters yang digunakan dalam markup XML untuk mencegah kerentanan XSS. Perbaikan dapat diterapkan tanpa downtime karena tidak perlu melakukan restart terhadap service zimbra untuk menerapkan mitigasi.

whatsapp dengan narasi malware yang menyamar menjadi voice note. Informasi ini marak diteruskan oleh pengguna dan juga disebarkan lewat media sosial. Bahkan beberapa media massa online ikut memberitakan tanpa melakukan klarifikasi dengan para pakar sehingga menimbulkan kekhawatiran di tengah masyarakat.

Postingan tersebut menyoroti tombol voice note yang seharusnya panah ke kanan (play) menjadi ke bawah (unduh) dan dianggap berbahaya. Padahal tombol panah ke bawah karena audio belum diunduh. Itu pun bukan dengan skema voice note karena whatsapp akan otomatis mengunduh voice note yang direkam secara langsung sehingga penerima tidak perlu mengunduh secara manual.

Sekalipun file yang dikirim berupa APK lalu diubah ekstensinya menjadi “.ogg”, file tersebut tidak akan bisa dijalankan karena mime-nya tidak terdeteksi sebagai file audio sehingga tidak akan dijalankan pada media player. Kecuali di kemudian hari ada sebuah bug yang membuat file APK berjalan pada media player whatsapp.

Terdapat beberapa keadaan yang menyebabkan kerentanan ini menjadi sangat berbahaya bagi sysadmin apabila tidak segera dilakukan patching, diantaranya:

1. Pkexec sudah terpasang secara default pada kebanyakan Linux Distro seperti, Ubuntu, Debian, Centos, dan lainnya.
2. Merupakan sebuah kerentanan lama atau 1-Day, yang mana sangat memungkinkan sudah sejak lama pula para attacker, bad actor, atau APT Group, memanfaatkan celah tersebut untuk mendapatkan hak akses penuh dari suatu sistem.
3. Memungkinkan user yang bukan root menjalankan exploit dan mendapatkan akses root.
4. Merupakan kerentanan jenis memory corruption yang sama dengan jenis exploit pada sudo suid-root (CVE-2021-3156), dimana exploit ini bersifat independent arsitektur, dan dapat cepat untuk dijalankan, meskipun polkit daemon sendiri tidak berjalan.

Rekomendasi perbaikan sementara dapat dilakukan dengan mengubah permission dari binary file pkexec dengan format: rwxr-xr-x.

Proof of Concept:

"Selanjutnya segera lakukan update pada Distro Linux yang digunakan."

Sumber: https://www.qualys.com/2022/01/25/cve-2021-4034/pwnkit.txt

Kepala Diskominfo, Kota Tangerang, Mulyani mengungkapkan Kota Tangerang CSIRT merupakan tim yang dibentuk oleh Pemerintah Kota Tangerang, yang ditujukan untuk merespon berbagai permasalahan dalam bidang teknologi informasi, terutama dalam menangani masalah keamanan informasi seperti serangan atau insiden siber.

“Sebenarnya, Kota Tangerang CSIRT sudah dibentuk pada 22 Desember 2021 melalui keputusan Walikota Tangerang. Hal ini juga sesuai dengan amanat UU, untuk menangani serangan-serangan siber terhadap sistem aplikasi lembaga,” papar Mulyani, usai launching.

Ia pun menjelaskan, Kota Tangerang CSIRT dibentuk untuk melakukan tugas monitoring, menerima, meninjau dan menanggapi laporan dan aktivitas insiden keamanan siber. Tim ini dibentuk dengan tujuan melakukan penyelidikan komprehensif dan melindungi sistem atau data atas insiden keamana siber yang terjadi.

Dengan itu, Kota Tangerang CSIRT dinilai cukup penting untuk keamanan sistem aplikasi Pemkot Tangerang. Pasalnya, kata Mulyani hingga Februari ini sudah ada 74 ribu serangan yang masuk ke sistem Kota Tangerang, namun masih dapat ditangani.

“Serangan atau insiden siber yang masuk ke Kota Tangerang bisa dibilang hampir setiap hari. Dengan itu, Kota Tangerang CSIRT ini memang sangat penting dan dibutuhkan, untuk lebih menjaga keamanan yang harus dijaga Diskominfo,” kata Mulyani.

Sementara itu, Sekda Kota Tangerang, Herman Suwarman menuturkan lewat Kota Tangerang CSIRT, Pemkot Tangerang berharap dapat lebih cepat dan tepat dalam merespon insiden keamanan informasi. “Kami berharap, teman-teman di Diskomino dapat bekerjasama dengan CSIRT yang lain begitu juga dengan BSSN secara baik,” imbaunya.

Pelaksanaan Bimtek, berlangsung di Hotel Aston. Direktur Tata Kelola Aplikasi Informatika DRA. Mariam F. Barata dalam sambutannya mengatakan tujuan pelaksanaan Bimtek SPBE ini adalah untuk mewujudkan tata kelola pemerintah yang bersih, efektif, transparan, dan akuntabel, serta meningkatkan efisiensi dan keterpaduan penyelenggaraan SPBE.

Bimtek dihadiri sekitar 150 orang peserta utusan dari Kementerian Kominfo, Lembaga, BUMD Provinsi dan Kab/Kota seluruh Indonesia, di antaranya Dinas Kominfo Kota Tangerang dan menghadirkan narasumber dari Kementerian Kominfo, KemenPAN-RB dan Bappenas.

Sementara, Kepala Bidang Sarana dan Prasaran Teknologi Informatika dan Komunikasi dan Persandian Kota Tangerang Budi Hamzah Permana, SE. MM mengatakan, dengan ditetapkannya Norma, Standar, Prosedur dan Kriteria (NSPK) maka prosedur dalam menyelenggarakan urusan Pemerintahan yang diserahkan ke daerah. Diharapkan menjadi sebuah wujud tata kelola pemerintahan ke arah yang lebih baik lagi, serta meningkatkan kualitas pelayanan publik dan meningkatkan partisipasi masyarakat dalam penyelenggaran pembangunan.

SPBE merupakan sistem penyelenggaraan pemerintah yang memanfaatkan teknologi informasi dan komunikasi untuk memberikan layanan kepada pengguna SPBE.  SPBE sendiri bertujuan untuk mewujudkan tata kelola pemerintah yang bersih, efektif, transparan, dan akuntabel, serta meningkatkan efisiensi dan keterpaduan penyelenggaraan SPBE.

Budi Hamzah berharap agar para pimpinan instansi dapat bertindak sebagai penggerak utama SPBE di daerah dan instansi masing-masing dengan mengambil langkah-langkah konkrit yang berorientasi hasil. "Seluruh instansi dapat menyesuaikan program/kegiatan di bidang SPBE sehingga sejalan dengan kebijakan strategis nasional," ungkapnya.

Diketahui, Diskominfo telah meningkatkan fokus perhatian keamanan informasi, terutama pada 101 server pendukung aplikasi layanan publik Kota Tangerang. Dengan sertifikat ini, sistem keamanan informasi atau lebih dikenal dengan Information Security Management System telah diakui berstandar Nasional. 

“Sertifikat ini sebagai sebuah pengakuan standar Nasional, baik dari segi keamanan, administrasi manajemen, hingga tata kelola data center itu sendiri. Kami satu-satunya kota yang memiliki sertifikat ini di Provinsi Banten,” ungkap Kabid TIK Diskominfo, Budi Hamzah, Kamis (5/3/20).

Ia menuturkan, dengan semakin terjaganya kerahasiaan, integritas dan ketersedian informasinya, Diskominfo dinyatakan mampu mengendalikan risiko keamanan informasi seluruh data milik Pemkot Tangerang.

Sementara itu,  Bussiness Assurance Certification Training PT Intertek, Arry Kurnia, mengungkapkan manfaat ISO 27001:2013 antara lain memastikan organisasi memiliki kontrol yang memadai terkait keamanan informasi, menunjukkan tata kelola yang baik dalam penanganan dan pengamanan informasi dan adanya mekanisme untuk mengukur berhasil atau tidaknya kontrol pengamanan. 

“Semoga dengan hasil audit kami dari PT Intertek, dan mengeluarkan sertifikat ini untuk Kota Tangerang, Diskominfo bisa terus meningkatkan, memaksimalkan sehingga tahun depan bisa dipertahankan bahkan ditingkatkan standarnya,” katanya.

Content Security Policy (CSP) atau dalam Bahasa Indonesia dikenal dengan Kebijakan Keamanan Konten, adalah lapisan keamanan tambahan yang membantu mendeteksi dan mengurangi jenis serangan tertentu, seperti Cross Site Scripting (XSS), serangan injeksi data, pencurian data, perusakan situs, hingga distribusi malware.

Untuk mengaktifkan Content Security Policy (CSP), kita bisa melakukan konfigurasi pada webserver seperti Apache, Nginx, dan semisalnya. Selain webserver, kita juga bisa menentukan CSP melalui tag HTML dan pada bahasa pemrograman backend yang digunakan, seperti PHP dan sejenisnya (akan dibahas kemudian).

Adapun ilustrasi dari penerapan CSP dan pengaruhnya terhadap client dapat dilihat pada gambar berikut (Gambar 1). Pada gambar tersebut disimulasikan client mengakses website http://example.com  yang memiliki aset berupa javascript ‘file.js’ dan css‘file.css’. Lalu peretas menyisipkan script jahat berupa javascript dari website http://malicious.com bernama xss.js. Sementara webserver menerapkan CSP default-src http://www.example.com.

Maka yang akan ditampilkan pada client dan dieksekusi oleh browser hanyalah file.js dan file.css karena kedua file tersebut berasal dari server yang sama. Sedangkan file xss.js yang disisipkan oleh peretas, akan diblokir oleh browser yang membaca respon dari HTTP Header Content Security Policy karena bersumber dari website yang berbeda.

Sebelum menerapkan Content Security Policy pada server, ada beberapa istilah yang harus kita kenali dan beberapa kondisi pada website/aplikasi yang harus kita pahami. Teknologi yang digunakan pada website atau aplikasi akan mempengaruhi konfigurasi dari CSP itu sendiri. Demikian juga sebaliknya. Adapun istilah-istilah yang harus kita pahami kegunaannya pada konfigurasi CSP bisa dilihat pada tabel berikut.

Directives pada CSP berfungsi sebagai penentu kebijakan yang akan diterapkan. Contoh, kita ingin menerapkan directive script-src, maka artinya kita akan menentukan script yang bersumber dari mana saja yang akan diizinkan untuk dieksekusi. Perlu diperhatikan bahwa directive default-src wajib ada dalam konfigurasi CSP untuk menyesuaikan dengan kompatibilitas browser karena masih ada beberapa browser yang mungkin belum mendukung directive tersebut. Misal, jika browser tidak mendukung directive object src, maka kebijakan sumber konten akan ditentukan oleh directive default-src. Atau jika object-src tidak dideklarasikan pada CSP, maka konten yang terkait dengan object seperti tag HTMLdan sejenisnya, kebijakannya akan dikembalikan pada default-src. Namun perlu digarisbawahi bahwa tidak semua directive akan dikembalikan kepada default-src. Selanjutnya, directive pada CSP harus diikuti dengan source list karena di sinilah ditentukan sumber-sumber konten yang akan diizinkan.

a. Macam-macam Directive pada CSP dan Penjelasannya

b. Referensi Source List

Semua arahan yang diakhiri dengan -src mendukung nilai serupa yang dikenal sebagai source list. Beberapa nilai source list dapat dipisahkan spasi dengan pengecualian 'none' yang seharusnya menjadi satu-satunya value.

B. IMPLEMENTASI CONTENT SECURITY POLICY

1. Contoh Konfigurasi Dasar dan Sederhana

Contoh konfigurasi CSP pada Nginx.

add_header Content-Security-Policy "default-src 'self' https://cdn.bootstrap.com;\
script-src 'self' https://cdn.bootstrap.com; style-src 'self' \
https://cdn.bootstrap.com; img-src 'self';";

Contoh konfigurasi CSP pada Apache.

Header set Content-Security-Policy "default-src 'self' https://cdn.bootstrap.com;\
script-src 'self' https://cdn.bootstrap.com; style-src 'self'\
https://cdn.bootstrap.com; img-src 'self';";

Contoh konfigurasi CSP dengan <meta> tag HTML.

meta http-equiv="Content-Security-Policy" content="default-src 'self' https://cdn.bootstrap.com;; script-src 'self' https://cdn.bootstrap.com; style-src 'self' https://cdn.bootstrap.com; img-src 'self';"

Contoh konfigurasi CSP pada pemrograman PHP.

<?php
header("Content-Security-Policy: default-src 'self' https://cdn.bootstrap.com;; script-src 'self' https://cdn.bootstrap.com; style-src 'self' https://cdn.bootstrap.com; img-src 'self';");
?>

Konfigurasi di atas akan menghasilkan kebijakan konten sebagai berikut:

• default-src ‘self’ https://cdn.bootstrap.com artinya konten dan resource yang ditampilkan berupa gambar, font style, css, koneksi, media, objek hanya yang berasal dari website kita sendiri dan https://cdn.bootstrap.com.

• script-src ‘self’ https://cdn.bootstrap.com; artinya konten dan resource yang ditampilkan berupa javascript hanya yang berasal dari website kita sendiri dan https://cdn.bootstrap.com. Jika directive ini tidak dideklarasikan, maka kebijakan akan dikembalikan pada directive default-src.

• style-src ‘self’ https://cdn.bootstrap.com; artinya konten dan resource yang ditampilkan berupa CSS hanya yang berasal dari website kita sendiri dan https://cdn.bootstrap.com. Jika directive ini tidak dideklarasikan, maka kebijakan akan dikembalikan pada directive default-src.

• img-src ‘self’ artinya konten dan resource yang ditampilkan berupa gambar hanya yang berasal dari website kita sendiri. Jika directive ini tidak dideklarasikan, maka kebijakan akan dikembalikan pada directive default-src.

2. Penerapan Source dengan Skema (Scheme)

add_header Content-Security-Policy "default-src 'self' \
https://cdn.bootstrap.com; script-src 'self' https://cdn.bootstrap.com; \
style-src 'self' https://cdn.bootstrap.com; img-src 'self' data:; \
object-src 'self' blob:;";

Konfigurasi di atas akan menghasilkan kebijakan konten sebagai berikut:

• default-src ‘self’ https://cdn.bootstrap.com; artinya konten dan resource yang ditampilkan berupa gambar, font style, css, koneksi, media, objek hanya yang berasal dari website kita sendiri dan https://cdn.bootstrap.com.

• script-src ‘self’ https://cdn.bootstrap.com; artinya konten dan resource yang ditampilkan berupa javascript hanya yang berasal dari website kita sendiri dan https://cdn.bootstrap.com. Jika directive ini tidak dideklarasikan, maka kebijakan akan dikembalikan pada directive default-src.

• style-src ‘self’ https://cdn.bootstrap.com; artinya konten dan resource yang ditampilkan berupa CSS hanya yang berasal dari website kita sendiri dan https://cdn.bootstrap.com. Jika directive ini tidak dideklarasikan, maka kebijakan akan dikembalikan pada directive default-src.

• img-src ‘self’ data: artinya konten dan resource yang ditampilkan berupa gambar hanya yang berasal dari website kita sendir dan mengizinkan memuat gambar yang di-encoding dengan base64() seperti format data:image/webp;base64,/b4s364ImAgeEnc0dinG==. Jika directive ini tidak dideklarasikan, maka kebijakan akan dikembalikan pada directive default-src.

• object-src ‘self’ blob: artinya konten dan resource yang ditampilkan berupa object baik itu yang dimuat dengan frame, object, atau applet harus bersumber dari website kita sendiri dan mengizinkan tipe data object dengan bentuk blob. Seperti blob:https://website.com/123-45jhjfg-123btnbg1-345345.

3. Penerapan Hash dan Nonce

Jika ada penerapan inline script atau inline style pada website kita, kita harus menyertakan ‘unsafe-inline’ pada directive script-src atau style-src. Namun cara demikian menyebabkan kemanan website kita akan lebih rentan terhadap serangan. Sebagai alternatifnya, CSP menyediakan fitur nonce atau hash. Nonce adalah karakter acak sekali pakai berbentuk base64 yang digunakan pada tag script atau style dan nonce tersebut nantinya didaftarkan pada Rule CSP. Sedangkan hash adalah hasil hashing dari inline script tanpa menyertakan tag script atau style.

Ketika â€˜unsafe-inline’ tidak diterapkan pada CSP sedangkan website anda menggunakan inline style atau inline script, maka pada console browser akan tampil error seperti di atas. Pada console akan ditampilan nilai hash dari script yang diblokir atau saran menggunakan nonce.

Misal, website kita menerapkan inline script sebagai berikut.

// Without nonce
<\script\>
alert(‘Hello World’);
<\/script\>

Solusinya menambahkan atribut nonce pada tag script.

<\script nonce=”s0m3sTrin9rAndomEx4mplE”\>
alert(‘Hello World’);
<\/script\>

Kemudian menambahkan nonce value tersebut pada rule CSP kita.

Content-Security-Policy: "default-src 'self'; script-src 'self' \
‘nonce-s0m3sTrin9rAndomEx4mplE’;

Atau cara kedua adalah membuat hash dari script di atas. Dalam modul ini saya menggunakan fitur script and style hasher pada website https://report-uri.com/. Salin script (tanpa menyertakan tag script) lalu paste pada form yang telah disediakan kemudian klik tombol hash.

Nilai hash akan muncul dan sertakan nilai hash tersebut pada rule CSP yang akan kita buat.

Content-Security-Policy: "default-src 'self'; script-src 'self' \
'sha256-DUTqIDSUj1HagrQbSjhJtiykfXxVQ74BanobipgodCo=';

Untuk menjalankan script pada event hanlders seperti script pada atribut onclick, selain menambahkan nilai hash-nya, kita harus menambahkan ‘unsafe-hashes’ pada rule CSP. Contohnya sebagai berikut.

<\button type=”button” onclick=”jsFunction()”\>

CSP rule-nya adalah sebagai berikut.

Content-Security-Policy: "default-src 'self'; script-src 'self' 'unsafe-hashes' \
'sha256-DUTqIDSUj1HagrQbSjhJtiykfXxVQ74BanobipgodCo=';

Yang perlu diperhatikan ketika kita memilih untuk menggunakan nonce, nonce yang diterapkan haruslah bersifat dinamis, bukan statis. Nonce harus berubah setiap halaman dimuat ulang karena, jika nonce tidak berubah-ubah, peretas dapat melakukan bypass terhadap rule CSP yang kita buat. Adapun syarat-syarat lainnya sebagai berikut:

1. Nonce harus unik untuk setiap HTTP Response 

2. Nonce harus dibuat menggunakan generator acak yang aman secara kriptografis 

3. Nonce harus memiliki panjang yang cukup, bertujuan untuk setidaknya 128 bit entropi (32 karakter hex, atau sekitar 24 karakter base64). 

4. Tag skrip yang memiliki atribut nonce tidak boleh memiliki variabel tidak tepercaya/tidak lolos di dalamnya. Artinya harus terdaftar di CSP rule.

Untuk lebih lengkapnya tentang penerapan dynamic noce bisa dilihat pada link berikut.

1. Generate a nonce with Apache 2.4 (for a Content Security Policy header) - Stack Overflow

2. CSP Nonce support in Nginx

4. Penerapan Directive report-uri dan Konfigurasi URI Reporting pada Website report-uri.com

Pada CSP terdapat fitur reprot-uri dan report-to yang berfungsi untuk melaporkan pelanggaran terhadap CSP. Directive report-uri akan diikuti oleh URL di maka laporan akan dikirim oleh server jika terjadi pelanggaran. Sedangkan report-to diikuti nama grup URL pelaporan yang telah didefinisikan sebelumnya pada HTTP Header Report-To.

Penggunaan report-uri pada CSP.

Content-Security-Policy: "default-src 'self'; script-src 'self' 'unsafe-hashes' \
'sha256-DUTqIDSUj1HagrQbSjhJtiykfXxVQ74BanobipgodCo='; \
report-uri https://report.location.tld;

Penggunaan report-to pada CSP.

Report-To: {"group":"default","max_age":10886400,"endpoints":[{"url":"https://report.location.tld"}],"include_subdomains":true}

Content-Security-Policy: "default-src 'self'; script-src 'self' 'unsafe-hashes' 'sha256-DUTqIDSUj1HagrQbSjhJtiykfXxVQ74BanobipgodCo='; report-uri https://report.location.tld; report-to delfault;

Untuk mendapatkan URI Reporting, kita bisa mendaftar secara gratis pada website Report URI: Register (report-uri.com). Setelah itu, kita akan mendapatkan link verifikasi pada email kita. Klik link yang dikirimkan untuk menyelesaikan proses registrasi.

Setelah proses registrasi selesai, silakan login pada halaman berikut: Report URI: Login (report-uri.com).

Klik icon CUSTOMISE pada Dashboard kemudian website akan mengarahkan kita pada halaman setup. Pada halaman ini kita bisa melakukan kustomisasi URI Reporting dan mendapatkan Reporting API.

5. Analisa Security Header dan CSP Scanner

Kita bisa menganalisa hasil dari konfigurasi HTTP Header dan CSP kita melalui website https://securityheaders.com atau dengan extension CSP Scanner pada browser Chrome dan Edge.