Google mengumumkan pekan ini bahwa mesin virtual Google Cloud yang ditenagai chip AMD Turin memerlukan pembaruan OS guest serta proses penghentian dan penyalaan ulang guna membentengi sistem dari tiga kerentanan CPU side-channel.

Pihak penyedia layanan telah menerapkan mitigasi perlindungan untuk mencegah potensi serangan lintas VM maupun antara VM dan mesin induk host. Kendati demikian, di dalam lingkup internal VM itu sendiri, kelemahan ini dapat memberikan celah bagi peretas yang mengeksekusi kode pada inti prosesor yang sama guna mengintip data milik proses lain atau tingkat kernel.

Deretan seri mesin yang terdampak mencakup C4D, N4D, H4D, Z4D, serta G4, termasuk varian bare-metal untuk seri C4D dan Z4D. Nama Turin sendiri merupakan sebutan sandi resmi bagi lini prosesor AMD EPYC generasi kelima.

Ketiga kerentanan tersebut dikategorikan sebagai Transient Scheduler Attacks (TSA). Dua di antaranya, yakni varian TSA-SQ (CVE-2024-36350) serta TSA-L1 (CVE-2024-36357), pada awalnya diungkapkan ke publik pada 8 Juli 2025 untuk model prosesor EPYC generasi terdahulu.

Pihak AMD kini memaparkan bahwa jajaran prosesor Zen 5 mereka, yang menaungi seri Turin, "terdampak secara berbeda jika dibandingkan dengan karakteristik prosesor AMD terdahulu." Adapun celah ketiga berlabel CVE-2026-0004 tergolong masalah baru. Celah ini berpotensi membiarkan pelaku kejahatan siber yang berhasil menjalankan kode dalam sistem menyimpulkan isi data pada cache data L1 prosesor.

Pengembang Xen Project yang mengelola hypervisor Xen menamai kerentanan anyar ini sebagai TSA-Fill. Mereka menambahkan bahwa keterangan sebelumnya kini telah diralat: "AMD sebelumnya sempat menyatakan bahwa jajaran CPU Zen5 kebal terhadap ancaman TSA-SQ dan TSA-L1."

Tingkat keparahan isu ini dinilai berada pada level Medium oleh Google. Berdasarkan buletin resmi Zen 5 dan dokumen penasihat CVE-2026-0004, AMD menggolongkan ketiganya sebagai skema serangan lokal berkerumitan tinggi, kendati hanya menuntut hak akses rendah.

Hingga saat ini, belum ada satu pun dari ketiga celah tersebut yang tercantum pada katalog kerentanan tereksploitasi KEV milik Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA). Kedua korporasi raksasa tersebut juga tidak menemukan adanya indikasi eksploitasi aktif dalam rilis buletin mereka.

Langkah yang Perlu Dilakukan Pelanggan Google Cloud

Rilis buletin keamanan Google membeberkan panduan penanganan langkah demi langkah untuk setiap layanan terkait:

Para pengguna arsitektur lawas seperti prosesor Rome, Milan, dan Genoa sebelumnya juga memperoleh petunjuk stop-and-start serupa dalam buletin edisi awal saat isu pertama kali diumumkan pada 8 Juli 2025.

Pihak penyedia cloud belum merinci tindakan antisipasi sementara bagi instance VM yang vendor sistem operasinya belum mendistribusikan berkas perbaikan. Google pun tidak menjelaskan metode verifikasi untuk memastikan kapan berkas pembaruan informasi CPU telah resmi diterapkan pada mesin virtual.

Sebuah patch kernel yang berfungsi menangkal celah TSA pada arsitektur Zen 5, termasuk jenis varian baru, kini sudah dimasukkan ke repositori Linux kernel. Sampai hari ini, pihak Debian baru menambal celah CVE-2026-0004 pada kernel Linux untuk cabang unstable saja. Sistem pelacak keamanan Debian masih mengategorikan kernel pada distribusi bookworm, trixie, dan forky dalam status rentan.

Terkait pengelolaan peladen Turin pada infrastruktur perangkat keras mandiri, pihak AMD menegaskan bahwa pembaruan firmware platform sekaligus patch OS amat dibutuhkan demi memulihkan kelemahan secara tuntas. Proses mitigasi tersebut berpotensi memengaruhi laju performa mesin, sehingga para administrator sistem diminta mempertimbangkan rasio risiko terhadap beban kerja masing-masing, mengacu pada pedoman teknis pabrikan.

Di sisi lain, Xen Project telah merilis berkas pembaruan hypervisor melalui buletin teknis Xen. Pihaknya menyatakan bahwa paket microcode untuk seluruh varian kelemahan TSA pada Zen 5 sebenarnya telah disertakan ke dalam linux-firmware sejak tanggal 23 September.