Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) pada hari Senin resmi memasukkan empat celah keamanan baru yang berdampak pada GPUStack, SignalWire FreeSwitch, OpenBSD OpenSSH, serta IBM Aspera Faspex ke dalam katalog Known Exploited Vulnerabilities (KEV), menyusul adanya bukti eksploitasi aktif di dunia maya.
Daftar kerentanan tersebut dirinci sebagai berikut:
Dimasukkannya CVE-2026-123158 ke dalam daftar katalog KEV terjadi setelah munculnya laporan upaya peretasan yang menyasar kerentanan itu sejak 6 November 2026. Sebanyak 22 upaya penyerangan telah terdokumentasi dari 14 alamat IP unik sejauh ini, menurut pemantauan Previdian.
Melalui unggahan di platform X pada 7 November 2026, pihak Defused Cyber menyatakan bahwa mereka “mengamati sejumlah kecil pelaku ancaman yang menargetkan SSHole”, namun menekankan bahwa aktivitas serangan siber tersebut saat ini masih belum meluas secara masif.
Berdasarkan data GreyNoise, upaya penyerangan awal terhadap jaringan honeypot miliknya pertama kali terpantau pada 7 November 2026 pukul 00.46 UTC. Aktivitas pasca-eksploitasi yang terkonfirmasi berhasil dideteksi berasal dari enam alamat IP sumber, yang mencakup 18 rantai serangan berbeda hingga hari ini.
Langkah penyerangan tersebut mencakup pengintaian sistem, kueri ke layanan metadata cloud, upaya membaca hash kata sandi dan kunci SSH root, hingga modifikasi file authorized_keys pada SSH guna mempertahankan akses penyusup secara permanen.
Setidaknya dalam satu insiden, aktor ancaman tak dikenal terlihat memasang TAC Agent, yakni agen command-and-control (C2) berbasis Python yang mampu mengeksekusi perintah shell, melakukan pengintaian sistem, enumerasi direktori, transfer berkas, serta memperbarui dirinya sendiri.
Firma intelijen ancaman watchTowr turut mengungkapkan bahwa mereka melihat celah OpenSSH tersebut dimanfaatkan secara liar untuk membangun jaringan botnet dan menjalankan aktivitas penambang mata uang kripto.
Dalam pengumuman mitigasi CVE-2026-102895 yang dirilis 31 Juli 2026, pengembang paket Python GPUStack memberikan apresiasi kepada Nikko Enggaliano, Wei Yunzhou, Rui Yang, serta Haoyu Wang karena telah melaporkan kerentanan secara independen, sembari menambahkan bahwa “eksploitasi aktif di alam liar” dilaporkan oleh Javier Sixto dari Ulex Innovative Systems.
Saat ini belum ada data publik mengenai teknik eksploitasi celah lainnya, pihak penyerang di baliknya, maupun skala dampak serangan. Lembaga Federal Civilian Executive Branch (FCEB) diimbau untuk segera menerapkan pembaruan sebelum 12 November 2026.