Tag: Keamanan Siber Page 3 of 5

Sebuah celah keamanan berbahaya pada komponen kode TCP milik kernel Linux, yang secara resmi diidentifikasi sebagai CVE-2026-98432, kini dilaporkan berdampak langsung pada berbagai varian sistem operasi terkemuka, seperti Ubuntu, Red Hat Enterprise Linux (RHEL), serta sederet distribusi Linux lainnya. Terkait tingkat keparahan insiden ini, tim pengelola CVE internal kernel Linux menetapkan angka penilaian risiko yang sangat mencengangkan, yaitu mencapai 9.8 dari batas maksimum 10 pada standardisasi skala CVSS.

Melalui sebuah pernyataan tertulis yang dipublikasikan pada 27 Oktober, perusahaan riset kecerdasan buatan terkemuka Anthropic mengungkapkan bahwa model AI yang mereka kembangkan sukses merancang dan menciptakan kode eksploitasi fungsional. Skrip eksploitasi tersebut mampu memanfaatkan kelemahan ini secara optimal guna memberikan akses kepada penyerang jarak jauh tanpa verifikasi data kredensial sama sekali, agar dapat mengeksekusi instruksi perintah setingkat hak akses root tertinggi pada mesin server Linux yang tengah mengaktifkan modul penerima lalu lintas multipath TCP.

Hingga tanggal 29 Oktober, pihak Canonical untuk Ubuntu maupun kubu pengembang Red Hat Enterprise Linux (RHEL) terpantau masih belum mendistribusikan berkas pembaruan kernel yang sudah ditambal kepada para penggunanya. Sementara itu, entitas vendor raksasa seperti Red Hat, Amazon, Oracle, serta SUSE menetapkan kalkulasi skor risiko kerentanan tersebut pada tingkatan yang berada di rentang angka antara 5.9 hingga 8.1, yang dinilai jauh lebih moderat jika disandingkan dengan estimasi ekstrem tim pengembang kernel yang bertengger di skor 9.8.

Secara teknis, celah keamanan ini berakar dari situasi race condition yang berlokasi tepat di dalam logika pemrograman pembangunan koneksi jaringan protokol IPv4 TCP terbaru. Dinamika anomali ini berpotensi memicu sistem kernel membaca area memori penyimpanan yang sejatinya sudah melalui proses pelepasan atau alokasi kembali, suatu kategori kegagalan sistem yang populer dalam terminologi keamanan komputasi sebagai use-after-free.

Catatan rilis penanganan tambalan kernel secara formal menyematkan penghargaan kepada peneliti keamanan siber dari Anthropic, Xinyang Ge, atas pelaporan temuan kritis ini. Kendati demikian, baik berkas registrasi resmi CVE maupun penjelasan perbaikan teknis kernel sama sekali tidak menyinggung keberadaan teknologi multipath TCP (MPTCP). Korelasi langsung antara fungsionalitas fitur jaringan tersebut dan kerentanan yang dibahas sebetulnya murni bersumber dari laporan analisis yang dirilis oleh pihak Anthropic.

Mekanisme fitur MPTCP itu sendiri sejatinya dirancang khusus agar sebuah jalur transmisi komunikasi mampu memanfaatkan sejumlah lintasan rute jaringan secara berbarengan dalam waktu yang serempak. Dalam arsitektur sistem operasi Linux, setiap program aplikasi perangkat lunak yang sedang berjalan diharuskan mengajukan permintaan aktivasi MPTCP secara eksplisit ketika sistem mulai menginisiasi dan membuka gerbang socket komunikasinya.

Pernyataan artikel dari Anthropic juga menerangkan bahwa kerentanan ini sebenarnya "sudah berhasil ditambal pada rantai cabang hulu (upstream) dan telah disalurkan kembali (backported) ke seluruh percabangan kernel stabil yang dipelihara secara berkala." Namun demikian, bagi segenap kalangan pengguna sistem distribusi Linux kemasan, ketersediaan perbaikan darurat tersebut amat bergantung pada penerbitan paket kernel baru resmi dari pihak masing-masing vendor penyedia. Hingga ulasan ini dibuat, distributor Debian, Oracle Linux, SUSE, bersama Amazon Linux telah rampung merilis pembaruan paket perbaikan, setidaknya untuk sebagian varian kernel mereka, sedangkan pihak pengelola Ubuntu dan RHEL masih belum menyediakannya sama sekali.

Distribusi Mana Saja yang Telah Menyediakan Perbaikan

Mengenai penanganan terkini, pihak pengelola Ubuntu turut mencantumkan deretan varian kernel komputasi awan (cloud), kernel bersertifikasi kepatuhan FIPS, hingga kernel berorientasi real-time miliknya ke dalam daftar berstatus rentan terdampak atau masih dalam tahapan pengerjaan perbaikan. Di sisi berseberangan, Red Hat secara terbuka menyatakan bahwa paket perbaikan keamanan untuk sistem mereka "saat ini ditangguhkan peluncurannya untuk jadwal pembaruan berkala di masa mendatang." Baik Red Hat maupun manajemen Ubuntu terpantau belum mencantumkan kepastian tanggal rilis perbaikan tersebut.

Bagaimana Mekanisme Bug Ini Beroperasi

Kondisi perlombaan atau race condition ini terjadi secara presisi tepat di tengah tahapan jabat tangan konseptual TCP handshake. Ketika pembentukan sebuah jalur sambungan berhasil dirampungkan seutuhnya, kernel secara otomatis menyerahkan pengaturan opsi-opsi IP yang tersimpan di dalam antrean permintaan tertunda langsung menuju ke socket yang baru saja diinisiasi tanpa melakukan replikasi atau penyalinan data terlebih dahulu.

Apabila socket bersangkutan tiba-tiba terhapus atau dihancurkan pada momen ketika unit prosesor (CPU) lain masih aktif memanfaatkan pengaturan opsi-opsi tersebut guna merespons paket permintaan koneksi yang terkirim berulang kali, maka kernel mau tidak mau akan membaca area memori yang telah dibebaskan.

Perlu dicatat bahwa implementasi protokol komunikasi IPv6 sepenuhnya kebal dan terbebas dari ancaman race condition ini, mengingat arsitektur kernel Linux secara konsisten selalu menduplikasi dan menyalin konfigurasi opsi untuk seluruh jenis koneksi IPv6.

Akar kegagalan struktural ini sebenarnya pertama kali terintegrasi ke dalam basis sistem sejak edisi rilis Linux versi 4.4. Para teknisi pengembang kernel Linux telah menyematkan kode perbaikan resmi pada tanggal 5 Oktober, tepat berjarak sepuluh hari penuh sebelum berkas rujukan CVE ini dipublikasikan kepada khalayak umum.

Adapun penanganan yang diterapkan tersebut berfungsi memaksa kernel untuk menunda proses dan menunggu sampai seluruh prosesor CPU lainnya tuntas membaca tumpukan opsi tersebut sebelum benar-benar membebaskannya dari memori.

Alasan Perbedaan Skor Tingkat Keparahan

Tim manajemen internal CVE kernel Linux baru menambahkan sematan nilai skor kritis 9.8 ke dalam berkas dokumentasi CVE pada tanggal 24 Oktober, yakni sembilan hari berselang pasca-publikasi dokumen perdana CVE tersebut.

Penilaian skor setinggi itu disusun berdasarkan skenario pemodelan di mana seorang penyerang mengirimkan transmisi permintaan inisiasi koneksi TCP yang memuat opsi spesifik IPv4 Record Route atau Timestamp, kemudian secara agresif melayangkan transmisi ulang guna memenangkan celah balapan memori. Tim kernel mengategorikan tingkat kompleksitas serangan pada level rendah, mengingat skenario kedua sisi proses yang berpacu di dalam memori tersebut dinilai "dapat dipicu secara langsung oleh pihak penyerang."

Melalui kondisi tersebut, tim memproyeksikan bahwa bug ini berpeluang membocorkan data memori internal kernel di sekitarnya kembali ke terminal penyerang, merusak keutuhan integritas struktur memori, atau bahkan memaksa sistem komputasi mengalami mogok total (crash).

Per tanggal 28 Oktober, lembaga National Vulnerability Database (NVD) terpantau masih belum menyematkan perhitungan skor independen mereka sendiri dan tetap mengadopsi angka 9.8 rujukan tim kernel. Laman dokumentasi kerentanan kepunyaan Ubuntu juga secara terbuka merefleksikan nilai penilaian keparahan serupa.

Sebaliknya, laman CVE yang dikelola Red Hat justru melabeli kerentanan ini pada tingkatan Moderat dengan skor keparahan hanya 5.9, dengan dasar pertimbangan teknis bahwa kondisi balapan memori tersebut sangat sulit dimenangkan oleh pelaku peretasan. Red Hat berargumen bahwa konsekuensi paling realistis dari insiden ini hanyalah terhentinya operasional kernel komputasi, dengan peluang terjadinya kerusakan struktur memori yang baru sebatas kajian teoritis, seraya menambahkan catatan bahwa "belum ada dampak nyata terhadap kerahasiaan maupun integritas data yang berhasil dibuktikan secara konkret."

Kendati demikian, berkas penasihat keamanan Red Hat yang berformat pembacaan mesin dan baru diperbarui pada 29 Oktober justru menggolongkan dampak kerentanan ini pada level Penting (Important) dengan nilai 8.1, yang mengakui adanya imbas tinggi terhadap aspek kerahasiaan serta integritas data. Pangkalan data bug tracker milik Red Hat pun secara serentak mendongkrak status keparahan dari kategori medium ke high pada hari yang persis sama. Padahal di hari itu, antarmuka situs CVE mereka masih menampilkan status Moderat berskor 5.9.

Di barisan lain, Oracle dan SUSE juga menetapkan skor keparahan di angka 8.1 dengan adopsi parameter vektor CVSS yang identik dengan berkas penasihat teknis Red Hat. Penghitungan angka-angka tersebut sebenarnya sejalan dengan kalkulasi tim kernel pada seluruh metrik pengukuran, terkecuali pada metrik kompleksitas serangan, di mana jajaran vendor menilai tingkat kerumitannya berada di level tinggi sedangkan tim kernel menganggapnya rendah. Di lain pihak, Amazon menyematkan skor risiko pada kisaran 7.0.

Apa Saja yang Berhasil Diciptakan oleh Anthropic

Eksplanasi seputar pembuatan skrip eksploitasi Linux ini diuraikan oleh Anthropic lewat publikasi tulisan bertanggal 27 Oktober yang mengulas deretan kelemahan keamanan yang sukses ditemukan sekaligus dieksploitasi oleh model kecerdasan buatan mereka, Claude. Media The Hacker News kemudian mengabarkan temuan tersebut secara luas pada 28 Oktober. Anthropic menegaskan bahwa Claude berhasil merangkai skrip eksploitasi tersebut secara mandiri pasca-menerima "serangkaian instruksi penugasan awal (initial prompting)."

Metode eksploitasi yang dirancang ini beroperasi secara terstruktur lewat dua tingkatan fase utama. Pada tingkatan pertama, fenomena balapan sistem dimanfaatkan untuk memperdaya kernel agar mengirimkan untaian bita data ekstra kembali ke sistem pihak penyerang. Segera setelah salah satu paket balasan transmisi tersebut membocorkan alamat lokasi memori kernel yang valid, pihak penyerang bisa dengan mudah menembus dinding proteksi KASLR, yakni sistem pertahanan pengacakan tata letak alamat memori kernel.

Selanjutnya pada tahapan kedua, kerentanan yang sama dieksploitasi untuk memicu luapan buffer data (buffer overflow) sehingga dapat menimpa variabel callback pointer dengan alamat lokasi muatan kode berbahaya (payload) yang sebelumnya telah disusupkan oleh penyerang ke ruang memori kernel. Tatkala kernel mengeksekusi instruksi pointer tersebut, muatan muatan jahat itu akan secara otomatis mengeksekusi perintah terminal shell sesuai kehendak penyerang dengan hak istimewa pengguna root.

Kegagalan dalam memenangkan race condition ini menariknya hanya akan membatalkan satu kali proses percobaan transmisi koneksi tersebut tanpa sampai melumpuhkan sistem komputer target secara keseluruhan, sehingga seorang peretas dapat leluasa mengulangi serangannya tanpa henti, jelas pihak Anthropic. Berdasarkan pengujian empiris yang mereka jalankan, tahapan pembocoran alamat memori kernel memerlukan rentang durasi pengujian selama 48 menit, disusul tahapan pengeksekusian instruksi perintah yang tuntas dalam kurun waktu 5 menit berikutnya.

Akan tetapi, ulasan tulisan yang dibagikan tersebut sama sekali tidak memuat lampiran kode sumber eksploitasi, rincian spesifik versi kernel Linux yang dieksperimenkan, maupun setelan konfigurasi sistem yang digunakan oleh Anthropic dalam laboratorium riset mereka.

Analisis Red Hat menggarisbawahi bahwa pihak penyerang jarak jauh mana pun yang mempunyai akses komunikasi menuju layanan TCP yang terbuka di ruang publik pada dasarnya dapat memicu kondisi race condition ini. Walaupun demikian, demonstrasi eksploitasi akses root yang dicapai oleh Anthropic secara spesifik menargetkan sistem server yang tengah mengoperasikan layanan pendengar multipath TCP. Ulasan tersebut tidak merinci lebih jauh apakah mesin server konvensional yang tidak mengaktifkan modul penerima tersebut dapat dieksploitasi dan diambil alih dengan metodologi yang sama persis.

Terhitung sampai tanggal 29 Oktober, tidak satu pun dari lembar pemberitahuan resmi vendor, arsip registrasi CVE, maupun laporan teknis yang dirilis oleh Anthropic mencatat adanya serangan siber aktif di dunia nyata yang memanfaatkan celah kelemahan ini. Identitas kerentanan ini juga belum terdata di dalam salinan katalog CISA Known Exploited Vulnerabilities yang pembaruan terakhirnya dihimpun oleh lembaga CIRCL Luksemburg pada 28 Oktober.

Bagi para pengelola infrastruktur yang sistem distribusinya telah menyediakan paket rilis perbaikan kernel resmi, disarankan untuk sesegera mungkin mengunduh dan memasangnya. Rangkuman tabel kompilasi di atas menyajikan rincian inventaris paket serta lembar pengumuman penasihat teknis untuk platform Debian, Oracle Linux, SUSE, beserta Amazon Linux.

Apabila Anda merakit atau mengompilasi kernel sistem Anda secara mandiri, kode pembaruan keamanan ini telah diintegrasikan ke dalam rilis Linux versi 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10, dan 7.3. Tim penanganan CVE kernel Linux sangat merekomendasikan migrasi menuju versi kernel stabil teranyar. Mereka menegaskan bahwa komunitas pengembang kernel resmi tidak memberikan dukungan teknis terhadap praktik pemilihan dan penambalan tambalan kode secara sepihak (cherry-picking).

Di lain sisi, pengguna distribusi Ubuntu, RHEL, serta varian rilis tertentu dari Amazon Linux maupun SUSE masih harus bersabar karena belum tersedianya paket kompilasi perbaikan kernel resmi yang siap dipasang saat ini. Red Hat menyatakan bahwa hingga sekarang belum ada metode mitigasi sementara yang sanggup memenuhi tolok ukur standar mereka, yakni prosedur yang praktis dipasang, kompatibel bagi mayoritas konfigurasi operasional, dan terjamin stabilitasnya. Tidak satu pun pengumuman penasihat vendor lainnya yang menerbitkan rekomendasi langkah mitigasi mandiri.

Seluruh dokumen pedoman keamanan serta tulisan paparan dari Anthropic pun tidak menjelaskan apakah langkah nonaktif fitur multipath TCP, atau prosedur penyaringan ketat terhadap permintaan transmisi paket koneksi masuk yang memuat opsi-opsi IP khusus, benar-benar efektif dalam menekan potensi risiko peretasan.

Webinar Keamanan Siber: Cara Membangun Kesiapan Ancaman AI dalam Operasi Keamanan

By admin

On October 29, 2026

In The Hacker News

Tim keamanan siber telah menghabiskan waktu bertahun-tahun untuk mempercepat deteksi ancaman. Kini kehadiran teknologi kecerdasan buatan justru mengubah bagian paling rumit: sisa waktu yang dimiliki pihak pertahanan untuk segera mengambil tindakan nyata sebelum terlambat.

Model AI mutakhir saat ini dapat membantu para penyerang menemukan celah kerentanan baru, merancang kode eksploitasi otomatis, serta mengeksploitasi berbagai kelemahan sistem jauh lebih cepat daripada kapasitas penanganan proses operasional keamanan konvensional yang ada selama ini.

Tantangannya sekarang bukan sekadar menemukan kerentanan tambahan atau menghasilkan peringatan bahaya baru. Masalah utamanya terletak pada kemampuan mengenali celah mana yang benar-benar berbahaya, aset apa yang dapat dijangkau musuh, dan persoalan mana yang wajib diselesaikan terlebih dahulu.

Hal mendesak tersebut menjadi topik utama dalam agenda webinar pekan depan bertajuk How to Build AI Threat Readiness Across Your Security Operations, yang menghadirkan narasumber ahli dari Wiz. Pertemuan daring ini akan mengulas strategi memperluas visibilitas sistemik, memprioritaskan risiko faktual, serta memangkas jeda waktu antara penemuan masalah hingga tahap perbaikan tuntas.

Sebagian besar praktisi keamanan siber sejatinya telah mengantongi banyak sekali data operasional harian. Mereka memegang temuan celah keamanan, peringatan komputasi awan, sinyal identitas digital, telemetri aplikasi, hingga rekaman deteksi ancaman. Kendala terberat adalah mengaitkan seluruh sinyal tersebut secara kilat guna menjawab pertanyaan-pertanyaan strategis penentu tindakan mitigasi.

Apakah kerentanan tersebut dapat diakses dari luar? Apakah aset yang terpapar memuat data sensitif perusahaan? Mungkinkah penyerang berpindah menuju target yang jauh lebih krusial? Siapakah pemilik sah sistem yang terdampak? Langkah perbaikan mana yang perlu diprioritaskan terlebih dahulu?

Ketika jawaban dari persoalan itu terpecah di berbagai aplikasi dan unit kerja terpisah, proses investigasi forensik menjadi lambat. Keterlambatan tersebut kian berakibat fatal manakala pelaku kejahatan siber sanggup mengotomatisasi tahapan eksplorasi data serta eksekusi eksploitasi menggunakan perangkat kecerdasan buatan.

📅 Amankan Kursi Anda Sekarang: Daftarkan Diri Anda untuk Mengikuti Webinar di Sini.

Sesi webinar ini memusatkan pembahasan pada dua kebutuhan praktis mendasar: cakupan visibilitas yang komprehensif serta kecepatan eksekusi respons operasional.

Divisi pertahanan siber memerlukan konteks yang utuh untuk memetakan tingkat ancaman pada seluruh infrastruktur komputasi awan, basis kode program, manajemen akses identitas, perangkat lunak SaaS, layanan komputasi cerdas AI, hingga rantai pasok software terintegrasi. Mereka pun memerlukan mekanisme terstruktur guna melacak jalur serangan terbuka, menelusuri insiden mencurigakan, dan menginstruksikan langkah perbaikan langsung kepada pemilik sistem tanpa harus membangun konteks dari awal secara berulang.

Pakar keamanan dari Wiz akan menguraikan bagaimana organisasi dapat menerapkan pendekatan konteks keamanan tunggal yang terpadu guna menyaring bahaya kritis dari gangguan notifikasi biasa, membaca arah serangan secara tepat, serta mengintegrasikan agen keamanan langsung ke dalam alur investigasi dan penanganan teknis.

Bagi tim SOC, metode ini berarti mengurangi waktu yang terbuang untuk menyusun konteks insiden manual. Bagi tim manajemen kerentanan, hal ini memberikan kejelasan temuan mana yang memerlukan respons darurat seketika. Bagi insinyur cloud serta rekayasa keamanan, pendekatan ini berhasil menjembatani kalkulasi risiko langsung dengan sistem serta pihak yang memegang wewenang eksekusi perbaikan.

Sasarannya bukanlah mengotomatisasi setiap keputusan tim secara penuh. Inti utamanya adalah menyingkirkan penundaan akibat sistem kerja yang terfragmentasi, investigasi berulang yang melelahkan, serta ketidakjelasan tanggung jawab kepemilikan aset.

Para peserta akan memperoleh panduan kerangka kerja khusus guna mengevaluasi sejauh mana kesiapan operasi pertahanan mereka dalam menghadapi gempuran berbasis AI yang bergerak kian gesit. Evaluasi ini menekankan pertanyaan mendasar: Mampukah Anda mengamati seluruh lingkungan guna memahami alur serangan? Dapatkah Anda memastikan dampak keterjangkauan celah baru oleh peretas dengan segera? Sanggupkah tim Anda menuntaskan temuan ancaman dari fase awal deteksi menuju perbaikan dengan sangat singkat?

Perkembangan teknologi AI terus melipatgandakan kecepatan pihak luar dalam mengeksploitasi kelemahan target. Tim pertahanan siber wajib merespons dinamika ini dengan konteks informasi yang lebih mendalam serta meminimalkan jeda waktu respons.

📅 Amankan Kursi Anda Sekarang: Daftarkan Diri Anda untuk Mengikuti Webinar di Sini.

Peretas Manfaatkan Kerentanan Kritis Cisco SD-WAN untuk Tanam Malware Pencuri Kunci Enkripsi

By admin

On October 29, 2026

In The Hacker News

Sekelompok peretas telah mengeksploitasi celah keamanan kritis pada platform Cisco Catalyst SD-WAN, yang telah diperbaiki pada bulan Februari lalu, guna menanamkan perangkat lunak perusak (malware) khusus langsung ke dalam sistem yang mengendalikan jaringan SD-WAN suatu organisasi.

Malware canggih ini, yang diidentifikasi dengan sebutan KeyDrift, dirancang khusus untuk menyalin kunci-kunci rahasia yang mengenkripsi lalu lintas komunikasi antarsitus dan menyimpannya demi keperluan di masa mendatang, demikian pernyataan yang disampaikan oleh tim Cisco Talos pada tanggal 28 Oktober. Pihak Talos mengkategorikan insiden penyerangan tersebut sebagai peristiwa historis, namun mereka tidak merinci secara pasti kapan serangan itu terjadi maupun apakah ada kunci enkripsi yang telah berhasil dikirim keluar ke pihak penyerang.

Celah keamanan berbahaya ini didaftarkan dengan kode CVE-2026-20127 serta mengantongi skor keparahan maksimal CVSS 10.0. Kerentanan tersebut memungkinkan penyerang jarak jauh tanpa proses autentikasi untuk memotong mekanisme verifikasi resmi dan langsung mendapatkan hak akses administratif penuh pada sistem kendali ini. Di dalam komponen Controller, aktor ancaman dapat masuk memakai akun internal berhak akses istimewa tinggi yang bukan merupakan akun root.

Ketika pihak Cisco pertama kali mengungkap keberadaan kerentanan ini kepada publik pada bulan Februari, tim Talos melacak aktivitas eksploitasinya di bawah nama kelompok penyerang UAT-8616, sebuah klaster kejahatan siber yang menurut mereka rekam jejak aktivitasnya dapat ditarik kembali setidaknya sejak tahun 2023.

Di dalam mekanisme pertukaran kunci tradisional milik arsitektur Cisco, setiap perangkat router SD-WAN secara berkala membuat sebuah kunci AES tersendiri untuk mengamankan lalu lintas datanya, kemudian mengirimkan kunci tersebut langsung ke Catalyst SD-WAN Controller (yang sebelumnya dikenal dengan nama vSmart). Pihak Controller selanjutnya bertugas meneruskan seluruh kunci tersebut ke perangkat router lainnya. Suatu proses sistem khusus di Controller yang disebut vdaemon menjalankan seluruh koneksi kendali terenkripsi yang membawa muatan kunci-kunci ini.

Pada perangkat Controller yang telah berhasil disusupi, komponen inti KeyDrift yang bernama LittleFilch akan mengaitkan dirinya ke dalam proses vdaemon lalu membaca setiap pesan kendali seketika setelah pesan-pesan tersebut didekripsi. Untuk daftar router edge yang telah ditentukan sebelumnya oleh penyerang, komponen ini menyalin alamat IP mereka beserta sebuah bidang data berukuran 32 bita. Analisis dari Talos menilai bahwa bidang data 32 bita tersebut sebenarnya merupakan materi kunci AES-256 yang secara berkala disalurkan oleh Controller antarseluruh router.

Modul LittleFilch kemudian mengenkripsi seluruh informasi yang telah dikumpulkannya menggunakan algoritma RSA lalu menyimpannya rapi ke dalam suatu berkas lokal. Modul ini kemudian dapat mengirimkan berkas data hasil rampasan tersebut melalui protokol UDP langsung ke alamat tertentu yang tercantum di dalam berkas konfigurasi, yang mana berkas pengaturan itu segera dihapus dari sistem setelah selesai dibaca. Pihak Talos sendiri tidak berhasil memulihkan kembali berkas konfigurasi yang telah dihapus tersebut.

Kelompok peretas di balik pengembangan KeyDrift, yang dilacak secara resmi oleh tim analis Talos sebagai kelompok UAT-11473, diketahui secara konsisten menargetkan sektor layanan antariksa dan satelit, industri teknologi pertahanan dan kedirgantaraan, hingga berbagai lembaga riset kebijakan publik.

Infrastruktur operasional milik kelompok ini dilaporkan saling tumpang tindih secara signifikan dengan jaringan botnet Silent Train, sebuah kesimpulan yang diyakini oleh Talos dengan tingkat keyakinan yang sangat tinggi. Silent Train sendiri merupakan nama identifikasi yang digunakan oleh tim riset Black Lotus Labs milik perusahaan Lumen untuk merujuk pada jaringan luas dari perangkat kantor skala kecil, perangkat rumah tangga, perangkat IoT, dan sistem bisnis yang telah berhasil dibobol.

Lumen menyatakan bahwa aktor ancaman Volt Typhoon memanfaatkan jaringan perangkat bajakan tersebut untuk menyamarkan jejak aktivitas berbahaya mereka. Lembaga keamanan siber CISA, NSA, bersama FBI secara tegas menyatakan pada tahun 2024 bahwa kelompok Volt Typhoon merupakan operasi kejahatan siber yang disponsori langsung oleh negara Tiongkok.

Dalam analisisnya, Talos menghubungkan kelompok UAT-11473 dengan Volt Typhoon murni hanya berdasarkan tumpang tindih infrastruktur tersebut. Mereka tidak menyatakan bahwa kedua entitas tersebut adalah kelompok yang sama persis, serta tidak menjelaskan secara gamblang bagaimana kaitan antara UAT-11473 dengan klaster kejahatan UAT-8616 yang mereka laporkan pada bulan Februari lalu.

Secara terpisah, pihak Lumen juga menyatakan pada tanggal 28 Oktober bahwa kelompok Volt Typhoon telah terbukti aktif mengeksploitasi kerentanan CVE-2026-20127 sejak akhir tahun 2025 dan terus melancarkan aksi eksploitasi tersebut bahkan setelah Cisco secara terbuka mempublikasikan adanya celah itu pada bulan Februari. Kendati demikian, laporan Lumen tidak mengaitkan langsung aktivitas penyerangan tersebut dengan peredaran malware KeyDrift.

Berdasarkan penjelasan resmi Talos, malware KeyDrift utamanya memulai proses eksekusinya dengan memanfaatkan skrip lingkungan runit yang telah dimodifikasi, yang digunakan oleh perangkat Cisco SD-WAN untuk memulai layanan-layanan operasional mereka. Di salah satu varian yang ditemukan, skrip untuk menjalankan layanan SSH mengaktifkan skrip pemuat awal berlabel conf_sshd tepat sebelum server SSH yang asli dijalankan. Skrip conf_sshd ini mencatat identitas proses sistem vdaemon ke dalam sebuah berkas, dan sebuah modul alat bernama rsshd segera menyuntikkan komponen utama KeyDrift, yaitu PolyFlame, langsung ke dalam masing-masing proses sistem yang sedang berjalan tersebut.

Komponen PolyFlame berjalan langsung di dalam memori internal vdaemon. Modul ini mampu berfungsi selayaknya backdoor mirip TinyShell yang mengeksekusi beragam perintah terminal serta membaca dan menulis berkas sistem, atau bertindak sebagai simpul relai yang meneruskan perintah kendali antara server komando dengan mesin target lainnya. Modul berbahaya ini dirancang untuk menerima kiriman perintah tersembunyi di dalam lalu lintas kendali SD-WAN, dan seluruh sampel kode yang dianalisis terbukti sama sekali tidak memuat alamat server pengendali yang tertulis secara langsung.

Sementara itu pada unit Validator yang telah dikompromikan (perangkat yang sebelumnya menyandang nama vBond), layanan palsu berlabel aaamgr di bawah direktori /etc/sv/aaamgr/ mengeksekusi program pemuat terkompresi bernama aaamgrd, yang kemudian mendekripsi dan menjalankan PolyFlame. Komponen asli aaamgr besutan Cisco sejatinya hanyalah sebuah paket program berbasis bahasa Python murni dan biasanya tidak pernah berjalan dalam format layanan terkompilasi biner.

Penyelidik juga menemukan indikasi manipulasi stempel waktu sistem (timestomping), di mana rangkaian perintah yang dieksekusi oleh kelompok penyerang secara sengaja menyalin stempel waktu penciptaan serta hak izin milik berkas resmi yang sudah ada sebelumnya ke berkas-berkas milik malware mereka sendiri.

Versi Perangkat Terdampak dan Panduan Perbaikan

Celah keamanan CVE-2026-20127 melanda produk Catalyst SD-WAN Controller (dahulu vSmart), Manager (dahulu vManage), dan Validator (dahulu vBond), tanpa memandang bagaimana konfigurasi sistem dijalankan. Sistem jaringan lokal (on-premises) dinyatakan terdampak secara langsung, begitu pula seluruh infrastruktur penerapan komputasi awan SD-WAN terkelola milik Cisco, termasuk di dalamnya instalasi Cisco Managed dan lingkungan komputasi khusus bersertifikasi FedRAMP. Cisco kemudian secara resmi menambahkan perangkat Validator ke dalam lembar peringatan keamanannya pada tanggal 16 Juni.

Pihak korporasi Cisco mengakui bahwa mereka menyadari adanya aksi eksploitasi terbatas di lapangan terkait celah ini. Tidak ada tindakan mitigasi sementara yang tersedia, dan rilis versi pertama yang telah memuat tambalan keamanan mencakup:

Seluruh versi rilis yang berada di bawah edisi 20.9 serta jalur rilis 20.11, 20.13, 20.14, dan 20.16 dinyatakan telah resmi mencapai fase akhir masa pemeliharaan perangkat lunak.

Sembari menunggu pelaksanaan peningkatan versi sistem secara menyeluruh, para pelanggan dengan infrastruktur lokal dihimbau untuk membatasi akses terbuka menuju porta 22 dan porta 830 hanya untuk daftar alamat IP milik pengontrol resmi dan sistem tepercaya lainnya. Cisco menyampaikan bahwa langkah isolasi ini berhasil berjalan efektif dalam skenario uji coba laboratorium mereka, namun para pengguna tetap disarankan memastikan sendiri efektivitasnya di jaringan masing-masing. Proteksi semacam ini sendiri sejatinya telah dipasang secara permanen pada sistem cloud SD-WAN terkelola milik Cisco.

Akan tetapi, upaya pemblokiran porta akses jaringan tersebut dipastikan tidak akan mampu melenyapkan sisa-sisa malware berbahaya yang mungkin telah berhasil tertanam di dalam perangkat.

Langkah Pemeriksaan Keberadaan Infeksi KeyDrift

Organisasi Cisco Talos mengimbau seluruh pengelola jaringan agar segera menginstal tambalan keamanan terbaru dari Cisco, mematuhi seluruh petunjuk penguatan keamanan sistem Catalyst SD-WAN, dan senantiasa waspada terhadap indikasi adanya aktivitas mencurigakan pasca-peretasan. Siapa pun pihak yang menemukan indikasi keterbobolan diminta untuk segera meluncurkan prosedur respons insiden serta dapat meminta bantuan langsung kepada Technical Assistance Center (TAC) Cisco.

Rekomendasi teknis tersebut sayangnya tidak merinci secara eksplisit apakah proses peningkatan sistem secara otomatis akan menghapus malware KeyDrift dari perangkat yang sebelumnya telah dibobol, atau apakah seluruh kunci kriptografi lama perlu diganti baru secara menyeluruh. Dokumen pemulihan keamanan Cisco bulan Februari untuk celah ini secara tegas memperingatkan potensi adanya eksploitasi aktif terdahulu yang masih tetap bercokol di sistem sebelum tindakan pembaruan dilakukan.

Malware KeyDrift diketahui mengoperasikan dan menyusupkan berkas-berkas serta lokasi berikut, yang beberapa di antaranya hanya berhasil diidentifikasi berdasarkan nama semata:

Dokumen rilis teknis milik tim Talos tidak menyertakan rincian daftar nilai hash berkas digital, daftar alamat IP, maupun domain internet pengendali yang digunakan langsung oleh operasi KeyDrift.

Pada tanggal 28 Oktober, Talos merilis serangkaian aturan deteksi Snort baru yang bertugas memindai tanda-tanda koneksi perintah dan kendali masuk dari KeyDrift: nomor aturan 67387 hingga 67416 untuk lingkungan Snort 2, serta aturan 7:44 hingga 7:73 untuk Snort 3. Selain itu, aturan bernomor 65938 dan 65958 yang telah dipublikasikan sebelumnya secara khusus melindungi sistem dari eksploitasi celah CVE-2026-20127 itu sendiri.

Laporan pembaruan tertanggal 28 Oktober menerangkan bahwa rangkaian aturan Snort 2 dimatikan secara bawaan, sehingga para pelanggan layanan berbayar Snort Subscriber harus menyalakannya secara manual. Di sisi lain, aturan pendeteksi untuk Snort 3 disajikan ke publik tanpa memiliki pengaturan status aktif baku.

Guna mendeteksi potensi eksploitasi langsung pada celah keamanan ini, Cisco menginstruksikan para pengelola untuk memeriksa berkas catatan /var/log/auth.log demi mencari kemunculan baris catatan berbunyi Accepted publickey for vmanage-admin yang berasal dari alamat IP tak dikenal. Sebelum membuat laporan bantuan teknis resmi ke pihak TAC, pelanggan diwajibkan menjalankan instruksi baris perintah request admin-tech pada seluruh unit komponen pengendali. Dokumen panduan perbaikan juga menganjurkan untuk memindai ulang berkas laporan admin-tech tersebut memakai fitur Check Bug Applicability pada portal Bug Search Tool untuk catatan kutu bernomor CSCws52722.

Khusus bagi seluruh instansi sipil federal Amerika Serikat, surat instruksi darurat dari CISA tertanggal 25 Februari menetapkan serangkaian tindakan wajib bila ditemukan adanya pembobolan akun pengendali root. Mereka diwajibkan segera melaporkan insiden itu kepada CISA, membangun ulang unit Manager, Controller, dan Validator yang benar-benar bersih dari citra sistem yang telah tertambal, lalu memindahkan seluruh konfigurasi router edge mereka ke ekosistem infrastruktur baru yang aman.

Hanya Pakai Celah Logika, Peretas Tembus Microsoft Edge dan Sabet Rp2,7 Miliar di Ajang Pwn2Own

By admin

On October 29, 2026

In The Hacker News

Rangkaian celah logika murni tanpa eksploitasi kerusakan memori terbukti mampu mengubah laman web berbahaya menjadi eksekusi kode bebas pada perangkat Windows di luar sandbox browser Microsoft Edge, demikian diungkapkan oleh seorang peneliti keamanan siber.

Orange Tsai dari lembaga riset keamanan DEVCORE mempublikasikan rincian metodologi serangannya secara utuh pada 28 Oktober. Publikasi ini dilakukan tepat lima bulan setelah eksploitasi berantai tersebut memenangkan hadiah uang tunai senilai 175.000 dolar AS di kompetisi peretasan Pwn2Own Berlin pada Mei lalu. Pihak Microsoft sendiri telah menambal seluruh celah pada peramban Edge sehari pasca kontes digelar, memastikan para pengguna yang menggunakan versi aplikasi terbaru sepenuhnya terlindungi dari ancaman.

Sistem sandbox pada peramban web pada dasarnya berfungsi sebagai benteng pertahanan utama yang mengurung kode pemrograman situs agar tidak merambah sistem operasi komputer induk. Berhasil melarikan diri dari batasan sandbox ini, kemudian menjalankan sebuah program komputer independen, merupakan tahapan kunci yang mengubah gangguan peramban biasa menjadi penguasaan penuh atas mesin korban.

Upaya untuk membobol sandbox peramban web selama ini hampir selalu bergantung penuh pada eksploitasi kerusakan memori. Menariknya, metode yang dikembangkan kali ini sama sekali tidak menyentuh sektor tersebut. Lewat laporan teknis resminya, Tsai memaparkan rantai serangan yang sepenuhnya disusun dari rentetan kesalahan logika saat Edge dan Windows mengelola fitur-fitur standarnya. Hebatnya lagi, ia mengonfirmasi bahwa keseluruhan skrip eksploitasi tersebut tersusun kurang dari 100 baris kode.

Dampak utama dari serangan ini adalah terciptanya sebuah instrumen universal cross-site scripting (UXSS). Celah ini membuka kemampuan mengeksekusi skrip JavaScript di alamat web mana pun, sembari meruntuhkan mekanisme content security policy yang dirancang khusus guna menghalau peretasan semacam itu.

Lantaran proses eksploitasi berakar langsung dari proses internal peramban itu sendiri, serangan ini sanggup menyusup ke domain bereputasi tinggi layaknya google.com yang lazimnya kebal terhadap celah peramban reguler. Tsai mendeskripsikan penemuan ini sebagai sebuah medan serangan baru yang terstruktur, bukan sekadar kutu program biasa yang berdiri sendiri.

Perlu dicatat bahwa rekayasa serangan ini merupakan materi pengujian kompetisi profesional, bukan serangan siber yang beredar bebas menargetkan masyarakat umum. Tsai memperagakannya langsung di panggung Pwn2Own; tidak ditemukan indikasi pemanfaatan teknik ini terhadap pengguna riil, dan dokumentasi resmi CVE mencatat status eksploitasinya nihil. Satu tahapan khusus memang memerlukan muat ulang peramban, yang diakui Tsai sekadar mempermudah demonstrasi kompetisi dan tidak mutlak diperlukan pada skenario serangan nyata.

Rantai pembobolan ini berawal dari pemanfaatan fitur navigasi korporat di Microsoft Edge yang dinamakan conditional access navigation throttle. Tsai menemukan fakta bahwa memicu fitur ini membuat proses peramban memulai navigasi baru yang terlepas dari laman pemintanya, sehingga Edge secara serampangan menempelkannya pada tab yang sedang aktif. Inkonsistensi sistemik inilah celah pertama yang memicu terciptanya kondisi UXSS.

Agar skenario eksploitasi dapat berjalan mulus tanpa membutuhkan interaksi klik dari korban, sang peneliti memerlukan empat kelemahan pendukung tambahan. Sistem Edge seharusnya memverifikasi bahwa permintaan hanya berasal dari domain resmi Microsoft, tetapi Tsai mengecoh filter tersebut dengan meluncurkan prosesnya dari jendela kedua. Mekanisme pemblokir popup milik Edge mestinya menggagalkan jendela tersebut, namun Edge kedapatan menyimpan daftar izin bawaan tertentu, dan salah satu alamat resmi di dalamnya berhasil dimanfaatkan untuk memunculkan popup.

Alur serangan ini juga menuntut calon korban berada dalam status telah masuk log akun, kondisi yang secara otomatis dipenuhi oleh fitur login bawaan Edge begitu pengguna membuka layanan web Microsoft. Terakhir, rangkaian ini mengekstrak data alamat surel pengguna dari situs internal Microsoft, assets.msn.com, yang secara keliru mengekspos informasi tersebut ke domain web luar akibat kesalahan konfigurasi pengaturan cross-origin.

Kemampuan menjalankan JavaScript di berbagai domain ternyata masih belum cukup untuk mengambil alih sistem operasi komputer. Untuk membobol keluar dari isolasi sandbox, Tsai memanfaatkan fitur mode baca milik Edge yang dikenal sebagai Immersive Reader. Fitur ini bekerja di bawah protokol khusus read:// yang alpa dicantumkan oleh Microsoft ke dalam daftar pembatasan eksekusi skrip.

Dari posisi tersebut, rantai serangan memanggil modul internal Edge yang aslinya berfungsi mengompresi berkas log diagnostik menjadi arsip zip. Fitur diagnostik tersebut disalahgunakan untuk menciptakan berkas arbitrer lengkap dengan nama dan konten bebas ke direktori mana pun di dalam penyimpanan disk.

Aksi penulisan berkas liar tersebut kemudian dikonversi menjadi eksekusi kode sistem melalui dua langkah terencana. Serangan ini menimpa konfigurasi sistem yang mengatur izin tautan protokol aplikasi pihak ketiga, dilanjutkan dengan merestart Edge agar konfigurasi baru dimuat. Skrip lantas mengeksekusi tautan telnet://; karena Windows modern secara bawaan tidak menyediakan program telnet, sistem secara otomatis mencari berkas terkait di seluruh folder sistem dan akhirnya mengeksekusi program tiruan berbahaya yang sengaja ditaruh di folder berizin rendah pengguna.

Pihak Microsoft merilis pembaruan keamanan resmi pada 15 Mei, sehari setelah kompetisi berakhir, melalui pembaruan Edge Stable versi 148.0.3967.70. Rilis tersebut memuat tiga penambalan spesifik yang didaftarkan sebagai CVE-2026-45492, CVE-2026-45494, dan CVE-2026-45495. Celah pertama diklasifikasikan sebagai jalan pintas fitur keamanan, sementara yang kedua dicatat sebagai celah penipuan identitas, keduanya menjangkau versi Edge sebelum pembaruan 148.0.3967.70.

Dokumentasi internal Microsoft memberikan peringkat keparahan 5,4 dari skala 10 untuk dua celah awal, nilai menengah yang semata-mata menakar masing-masing kutu secara terpisah, bukan bahaya total saat dirangkai hingga mengeksekusi kode sistem. DEVCORE mencatat bahwa tindakan perbaikan telah rampung dalam rentang waktu 24 jam semenjak laporan diserahkan.

Menerapkan pembaruan aplikasi Edge secara otomatis memutus total rantai serangan berbahaya ini. Mengingat patch perbaikan telah digulirkan sejak bulan Mei, peramban yang menyalakan opsi pembaruan otomatis telah lama terlindungi, sehingga pengguna tidak perlu melakukan langkah mitigasi tambahan.

Tsai merancang keseluruhan rantai eksploitasi ini secara manual selama sekitar dua bulan penuh tanpa bantuan kecerdasan buatan, sekaligus menegaskan pentingnya kapasitas penelitian manusia murni. “Bagian tersulit adalah menemukannya, dan setelah semuanya terkumpul, menyatukannya justru merupakan hal yang paling mudah,” ungkapnya mengenai perburuan celah logika tersebut. Karya riset brilian ini sukses memboyong penghargaan bergengsi Pwnie Award 2026 untuk kategori Epic Achievement.

Peretas Mulai Membidik Celah RCE Kritis Oracle E-Business Suite Pasca Pembaruan Keamanan

By admin

On October 28, 2026

In The Hacker News

Kelompok peretas dilaporkan mulai memindai kerentanan kritis yang baru saja diperbaiki pada sistem Oracle E-Business Suite (EBS), menurut laporan terbaru dari firma intelijen ancaman Defused Cyber.

Celah keamanan yang disorot tersebut terdaftar dengan kode CVE-2026-101767 (skor CVSS: 9.8) dan berada di dalam komponen Oracle Application Object Library pada Oracle E-Business Suite. Pihak Oracle baru saja menerbitkan perbaikan untuk kelemahan ini pada pekan lalu melalui pembaruan rutin Critical Patch Update mereka.

Tiga peneliti keamanan siber dari Horizon3.ai, yakni Brandon Peterson, Jimi Sebree, serta Noah King, diakui atas kontribusi mereka dalam menemukan dan melaporkan celah berbahaya tersebut kepada Oracle sejak tanggal 24 Juli 2026.

"Sistem umpan (decoy) Oracle E-Business Suite milik kami mendeteksi serangkaian eksploitasi penjajakan terhadap CVE-2026-101767, yang merupakan injeksi SQL tanpa autentikasi pada servlet Thin Client Framework EBS yang berujung pada eksekusi kode jarak jauh, pagi ini, 27 Oktober," tulis Defused Cyber dalam unggahannya di media sosial X.

Melalui lembar saran keamanannya terkait kerentanan ini, tim Horizon3.ai memaparkannya sebagai celah injeksi SQL tanpa kebutuhan autentikasi yang dapat dirangkai guna melancarkan eksekusi kode jarak jauh (RCE).

"Kelemahan ini memberikan peluang bagi penyerang yang memiliki akses jaringan ke servlet Thin Client Framework (TCF) terdampak untuk mengeksekusi perintah SQL sebagai pengguna basis data APPS, kemudian meluncurkan perintah sistem operasi menggunakan akun aplikasi EBS," ungkap perusahaan keamanan tersebut.

Secara teknis, pelaku ancaman dapat mengirimkan permintaan manipulatif langsung ke servlet TCF rentan pada alamat "/OA_HTML/AppsTCFServer" guna menjalankan SQL berhak akses pengguna basis data APPS, yang pada akhirnya memicu eksekusi perintah sistem lewat hak istimewa akun aplikasi EBS.

Keberhasilan peretasan terhadap CVE-2026-101767 memungkinkan pelaku kejahatan siber untuk membaca maupun merombak seluruh data aplikasi yang bisa dijangkau oleh pengguna APPS, sekaligus mengeksekusi berbagai instruksi pada peladen aplikasi host.

"Bergantung pada jenis penerapannya, data terdampak mencakup catatan keuangan, penggajian, SDM, hingga pengadaan. Akses sistem operasi sepenuhnya dikendalikan oleh batas izin dari akun aplikasi EBS yang telah dikompromikan," demikian peringatan dari Horizon3.ai.

Kendati instalasi EBS yang terhubung langsung ke internet memikul risiko paling besar, infrastruktur EBS internal juga tetap rentan disusupi bila pelaku mampu mengakses servlet yang bersangkutan dari mesin yang terinfeksi atau melalui segmen jaringan lain yang terbuka.

Para pengguna EBS sangat disarankan untuk segera memperbarui perangkat lunak mereka ke rilis mutakhir sesegera mungkin. Jika pembaruan langsung belum dapat dijalankan, solusi alternatif sementara berikut ini dapat diterapkan –

Selain itu, Horizon3.ai juga merilis beberapa indikator kompromi (IoC) di bawah ini –

Rangkaian kerentanan pada EBS memang kerap menjadi sasaran empuk para peretas. Sepanjang tahun terakhir, dua kelemahan kritis lain pada produk serupa (CVE-2025-61882 dan CVE-2026-46817, keduanya berbobot skor CVSS 9.8) telah dieksploitasi secara luas di lapangan, di mana celah pertama sempat dimanfaatkan oleh sindikat ransomware serta pemerasan Cl0p.

Apple Rilis Pembaruan Keamanan CoreGraphics untuk Model iPhone dan iPad Lawas

By admin

On October 28, 2026

In The Hacker News

Apple pada hari Senin secara resmi menggulirkan pembaruan sistem guna mengatasi celah keamanan tingkat tinggi yang telah dimanfaatkan dalam serangan siber nyata pada perangkat-perangkat generasi sebelumnya.

Kerentanan bersangkutan, yang terdaftar dengan kode CVE-2026-86950 serta memiliki skor CVSS 8.8, merupakan masalah penulisan di luar batas (out-of-bounds write) pada komponen CoreGraphics. Celah ini berpotensi memicu eksekusi kode arbitrer ketika sistem memproses suatu berkas berbahaya buatan peretas.

Perbaikan atas kerentanan tersebut sebelumnya telah diedarkan Apple bulan lalu pada platform iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1, serta macOS Sequoia 15.8.1. Pihak vendor mengakui adanya kemungkinan eksploitasi dalam operasi peretasan canggih terhadap target individu tertentu yang menggunakan sistem sebelum iOS 27.

Kini cakupan pembaruan keselamatan diperluas menuju iOS 18.7.11 dan iPadOS 18.7.11. Pembaruan ini ditujukan bagi seri iPhone XS, iPhone XS Max, iPhone XR, iPad generasi ke-7, iPad Air generasi ke-4 dan versi lebih baru, iPad generasi ke-9 ke atas, serta iPad mini generasi ke-6 dan varian setelahnya.

"Apple mengetahui laporan bahwa masalah ini kemungkinan telah dimanfaatkan dalam serangan yang teramat canggih terhadap target individu tertentu pada perangkat dengan iOS sebelum versi iOS 27," jelas perusahaan teknologi raksasa itu.

Selain masalah utama tersebut, paket pembaruan iOS 18.7.11 serta iPadOS 18.7.11 ikut menuntaskan masalah logika pada sistem Audio (CVE-2026-65339) yang rawan membocorkan data privat pemakai melalui sebuah aplikasi. Pembaruan ini juga membenahi celah akses di CoreMedia (CVE-2026-86990) yang memungkinkan aplikasi jahat mengoperasikan kamera perangkat secara diam-diam tanpa persetujuan pengguna.

Peluncuran ini bertepatan dengan pengapalan iOS 27.2, iPadOS 27.2, macOS Golden Gate 27.2, tvOS 27.2, watchOS 27.2, visionOS 27.2, serta Safari 27.2 oleh Apple. Rangkaian pembaruan massal tersebut menambal ratusan bug keamanan, termasuk di AppleAVD, CoreAudio, ImageIO, kernel, Model I/O, Screen Sharing Server, Spotlight, StorageKit, hingga mesin WebKit.

Di antara sekian banyak kendala teknis tersebut, yang paling menonjol ialah kerentanan otorisasi pada fitur Apple Intelligence (CVE-2026-86987). Celah ini membuka peluang bagi pelaku jarak jauh menyusup ke data privat pengguna. Produsen iPhone tersebut menegaskan perbaikan telah diterapkan di lingkungan iOS maupun iPadOS lewat penguatan validasi hak akses.

Meskipun Apple tidak menyatakan adanya eksploitasi aktif di dunia maya terkait celah-celah tersebut, melakukan pembaruan gawai menuju sistem paling anyar tetap merupakan tindakan paling tepat demi mengamankan sistem secara maksimal.

CyberStrikeAI Kerahkan 44 Agen AI untuk Otomatisasi Peretasan Entitas Jepang

By admin

On October 28, 2026

In The Hacker News

Sejumlah peneliti keamanan siber telah membeberkan laporan rinci terkait tiga insiden serangan siber yang menargetkan berbagai institusi di Jepang, di mana teknologi kecerdasan buatan atau artificial intelligence (AI) memegang peran paling sentral, baik itu sebagai pengemudi utama dari rangkaian operasi peretasan maupun sekadar sarana pembantu bagi operator manusia.

Lembaga riset keamanan TrendAI, yang telah melakukan serangkaian analisis mendalam terhadap tiga lingkungan server terbuka milik kelompok penyerang untuk melangsungkan aksi digital berbahaya tersebut, menegaskan bahwa serbuan ini memiliki karakteristik yang cukup berbeda jika dibandingkan dengan kampanye siber terdahulu yang sempat dipublikasikan, yakni operasi yang mengandalkan ARTEX, sebuah kerangka kerja uji penetrasi berbasis AI otonom guna mengincar target-target penting di Korea Selatan dan Jepang.

"Berbagai lingkungan server terbuka ini menyimpan peralatan pemindaian intelijen dan instrumen penyerangan, kode skrip khusus, daftar entitas target, ringkasan hasil penyusupan, catatan log sistem, serta riwayat perintah eksekusi," papar peneliti keamanan siber terkemuka Bakuei Matsukawa dan Joseph C Chen. "Lingkungan tersebut sangat beragam, mulai dari ruang kerja digital yang dioperasikan secara manual oleh operator berkeahlian teknis tinggi hingga platform berbasis agen AI canggih yang mampu mengotomatisasi seluruh alur kerja operasional, termasuk fungsi komando dan kontrol secara menyeluruh."

Serangan pertama dari ketiga kasus tersebut diketahui menyalahgunakan CyberStrikeAI, yang merupakan instrumen uji penetrasi berbasis sumber terbuka lainnya yang sempat dipakai dalam sebuah kampanye serangan digital terkoordinasi terhadap perangkat keras keamanan jaringan Fortinet FortiGate. Berdasarkan rekaman jejak forensik digital, seluruh aktivitas berbahaya gelombang pertama ini terpantau berlangsung amat intensif dalam rentang waktu yang relatif sangat singkat sepanjang bulan Oktober 2026.

Operasi digital berbasis kecerdasan buatan ini mengeksploitasi alat keamanan ofensif bersangkutan guna mengubah aneka rupa tahapan dalam siklus hidup serangan konvensional menjadi sebuah alur kerja terstruktur yang dapat diulang secara otomatis, berawal dari proses pengintaian jejak, penemuan kelemahan sistem dan tahap validasi kerentanan perangkat lunak, eksekusi eksploitasi kode berbahaya, pengendalian melalui infrastruktur komando dan kontrol (C2), pembentukan persistensi akses jaringan, proses pencurian data keluar, hingga penyusunan laporan audit peretasan otomatis tanpa keterlibatan manusia secara langsung.

Skema operasi siber modern ini bekerja dengan cara membagi dan mendelegasikan beban pekerjaan teknis kepada 44 agen mandiri yang memiliki spesialisasi tugas masing-masing untuk menangani bermacam-macam fase serangan, sembari secara simultan mengizinkan perancangan otomatis formulir manipulatif serta antarmuka halaman login tiruan dalam format bahasa Jepang yang sangat natural dan meyakinkan.

"Dalam durasi waktu yang terhitung amat singkat, setidaknya ada 19 entitas organisasi yang berhasil diidentifikasi, termasuk sedikitnya 16 lembaga penting di Jepang, telah menjadi sasaran langsung dari aktivitas validasi serangan ini," ungkap perwakilan resmi dari divisi keamanan perusahaan Trend Micro. "Masing-masing entitas korban memiliki berkas laporan dengan struktur format yang persis sama serta dilengkapi dengan indeks barang bukti digital. Seluruh berkas tersebut merupakan hasil keluaran dari pemrosesan terstruktur yang dijalankan oleh mesin platform, alih-alih catatan acak yang ditulis secara manual oleh tangan seorang operator."

Insiden serangan siber kedua digolongkan sebagai aksi peretasan yang dipimpin langsung oleh personel manusia dengan bantuan teknologi model bahasa besar (LLM) untuk mempercepat tahapan perencanaan logistik dan rekayasa instrumen serangan. Hasil pemeriksaan terhadap infrastruktur jaringan dan peninggalan artefak digital mengindikasikan bahwa kampanye ofensif ini dirancang khusus guna menyasar platform alur kerja kecerdasan buatan beserta layanan komputasi inferensi, dengan maksud terselubung untuk menyedot kapasitas pemrosesan inferensi berdaya besar dalam biaya yang sangat rendah.

Salah satu aksi pembobolan jaringan dalam kasus kedua ini dilaporkan sukses mengeksploitasi sistem informasi geografis atau geographic information system (GIS) yang tidak terlindungi dengan baik karena masih dibiarkan memakai kredensial setelan pabrik default, sehingga memicu insiden pencurian berkas pendaftaran tanah kadaster, rekam jejak informasi komersial, kredensial otentikasi akun Windows, serta data korespondensi surat elektronik milik instansi terkait. Rangkaian kampanye pembobolan menyeluruh ini berlangsung stabil selama 24 hari berturut-turut pada periode bulan Agustus hingga September 2026.

Sementara itu, pada kasus serangan siber ketiga, keterlibatan teknologi AI terpantau hanya dibatasi pada perancangan instrumen operasional dan penyusunan skrip serangan khusus milik sang operator, yang membuktikan adanya peran parsial teknologi mutakhir tersebut dalam serangkaian kampanye ofensif yang sengaja ditujukan guna menargetkan perangkat keras tepi jaringan buatan produsen Cisco, Citrix, F5, dan Yamaha melalui eksploitasi celah kerentanan yang telah dipublikasikan, penyalahgunaan fitur fungsi manajemen, ataupun penggunaan kredensial rahasia yang tertinggal di dalam berkas konfigurasi sistem.

Aktor ancaman siber tersebut diproyeksikan telah meluncurkan sedikitnya enam kali kampanye serangan digital terpisah mulai dari rentang bulan Januari sampai dengan Oktober 2026, dengan memanfaatkan peluang kerentanan secara oportunistik terhadap perangkat sistem VPN yang terbuka lebar ke internet serta peladen WebLogic yang tidak terlindungi. "Operator penyerang tersebut tergolong sangat berpengalaman, memiliki kebiasaan operasional yang matang dalam menerapkan otomatisasi serta pengelolaan barang bukti forensik yang sangat rapi," jelas tim peneliti keamanan.

Sampai tahapan penyelidikan saat ini, belum ditemukan adanya bukti forensik digital yang mengarah pada kesimpulan bahwa ketiga insiden peretasan terpisah ini dijalankan oleh operator kelompok ancaman yang sama. Selain itu, belum dapat dipastikan secara terang benderang apakah rentetan aksi pembobolan sistem ini juga sempat menyasar kawasan geografis lainnya di luar wilayah tersebut, serta jenis arsitektur model AI apa sajakah yang sejatinya dimanfaatkan untuk melancarkan serangan siber berbahaya ini.

Meski begitu, jangkauan aksi peretasan yang digerakkan oleh para pelaku ancaman ini kenyataannya tidak semata-mata terkungkung pada wilayah Jepang dan negara tetangga dekatnya seperti Korea Selatan saja. Operator di balik kasus penyerangan pertama diketahui ikut membidik organisasi yang berdomisili di Taiwan dan Hong Kong, sedangkan pelaku pada kasus ketiga memasukkan sejumlah entitas korporasi di Inggris, Prancis, Italia, Qatar, dan Kolombia ke dalam basis data inventaris pemindaian WebLogic mereka.

"Penerapan AI pada dasarnya telah melipatgandakan jumlah tenaga kerja operasional para penyerang, kendati demikian fokus pekerjaan mereka sejatinya tetap bertumpu pada pencarian pintu-pintu sistem yang lupa dikunci," pungkas perwakilan TrendAI. "Variasi pintu masuk serta jenis kerapuhan sistemik yang menyebabkannya tetap terbuka lebar belum mengalami perubahan fundamental. Hal paling signifikan yang berubah adalah kapabilitas untuk mencoba mendobrak ribuan pintu sekaligus secara serentak, kemudahan beradaptasi dengan bahasa lokal di negara sasaran, serta kemampuan melancarkan serangan non-stop tanpa merasakan kelelahan."

Kenyataan baru ini bertepatan langsung dengan temuan berbagai kampanye serangan digital lain di mana sindikat penjahat dengan latar belakang motivasi yang beragam mulai memadukan kapabilitas agentic AI ke dalam alur kerja operasi ofensif yang telah ada sebelumnya, sehingga memungkinkan mereka mendongkrak kecepatan riset sasaran, proses perekayasaan program jahat malware, skema rekayasa sosial, hingga bagian-bagian penting lainnya dari struktur serangan.

Situasi siber menjadi semakin mengkhawatirkan karena kecerdasan buatan kini kian gencar dioptimalkan untuk mengakselerasi proses pemindaian jejak sistemik, mengotomatisasi mekanisme pengambilan keputusan teknis, serta memfasilitasi industrialisasi taktik rekayasa sosial, yang secara drastis memangkas jeda waktu antara paparan kerapuhan sistem dan pelaksanaan eksploitasi celah keamanan. Berdasarkan data dari Microsoft Digital Defense Report 2026, kemajuan AI telah meruntuhkan median waktu yang dibutuhkan sejak ditemukannya celah keamanan hingga berhasil dipersenjatai menjadi di bawah 24 jam saja.

Pemanfaatan masif kecerdasan buatan oleh para aktor peretas jahat ini telah memangkas kebutuhan alokasi waktu operasional, tingkat kemahiran teknis individu, serta besaran anggaran biaya yang dibutuhkan untuk mengidentifikasi sekaligus mengeksploitasi celah kerapuhan, sementara pada saat yang sama memberikan keleluasaan bagi peretas maupun tim pertahanan untuk beroperasi dalam kecepatan luar biasa, jangkauan skala luas, dan tingkat otonomi mandiri yang jauh lebih tinggi, tambah raksasa produsen sistem operasi Windows tersebut.

"Persoalan paling krusial di sini bukanlah semata-mata bertumpu pada apakah seorang pelaku peretasan memiliki akses ke teknologi AI garda terdepan atau tidak," terang perwakilan Trend Micro. "Kemampuan mengakses model komputasi yang cakap saja pada dasarnya telah mampu memberikan dorongan keuntungan operasional yang sangat signifikan. Kendati demikian, kedalaman ekosistem komputasi pendukunglah yang nantinya menjadi penentu seberapa stabil, seberapa mandiri, dan dalam skala sebesar apa kemampuan ofensif tersebut sanggup dipertahankan dalam jangka panjang."

"Kecerdasan buatan bukan lagi sekadar instrumen eksperimental bagi kelompok ancaman tingkat lanjut (APT); teknologi ini kini telah bertransformasi menjadi komponen taktis operasional yang ditanamkan secara langsung ke dalam setiap tahapan kampanye peretasan."

Tingginya permintaan pasar gelap terhadap instrumen berbasis AI oleh para pelaku kejahatan digital pada gilirannya membuka ladang bisnis monetisasi baru yang memperjualbelikan token sesi penyedia AI hasil curian, serta distribusi peranti lunak AI ofensif khusus seperti APEX AI, MessiahGPT, dan DarkGPT, yang semakin mengkomodifikasi dunia kejahatan siber sekaligus meruntuhkan batasan keahlian bagi pihak-pihak yang berniat melancarkan serangan canggih, persisten, dan sulit dideteksi.

Pada pekan lalu, pihak Microsoft mengumumkan temuan bahwa kelompok peretas yang terafiliasi dengan negara China berhasil meretas aplikasi pencadangan cloud ConnectWise dan menyalahgunakan kerangka kerja ARTEX guna masuk tanpa izin ke dalam lebih dari 2.250 penyewa layanan Microsoft 365. Serangkaian aktivitas penyusupan tersebut diatribusikan kepada kelompok Storm-0940, yang menurut catatan intelijen telah memanfaatkan kerangka kerja otonom tersebut setidaknya sejak awal September 2026 untuk mengotomatisasi skema serangan penyemprotan kata sandi password-spraying terhadap ratusan organisasi korporasi.

"Walaupun mayoritas upaya penargetan tersebut tidak membuahkan hasil, kelompok Storm-0940 terbukti sukses membangun persistensi akses tingkat tinggi pada ekosistem cloud di banyak organisasi dalam tempo yang teramat kilat," jelas Microsoft. "Aksi penyerangan Storm-0940 menjadi potret nyata bagaimana kelompok penyerang dengan portofolio target yang masif dapat memanfaatkan instrumen agentic AI beserta material otentikasi kredensial istimewa untuk berupaya membobol pertahanan banyak entitas bisnis secara serempak."

Berdasarkan pemberitaan dari sejumlah media massa lokal di Korea Selatan, aparat penegak hukum setempat telah berhasil mengidentifikasi tujuh orang tersangka yang terafiliasi dengan sindikat operasi kejahatan digital yang membobol lebih dari 90 organisasi swasta maupun pemerintah di negara itu, di mana mayoritas aksinya melibatkan penggunaan ARTEX. Sosok dalang intelektual berusia 32 tahun di balik kejahatan tersebut diketahui sempat berkarir di sebuah korporasi keamanan siber terkemuka antara rentang tahun 2019 hingga 2022, di mana ia menimba pengetahuan mendalam terkait metode uji penetrasi sistem.

Dalam 38 peristiwa pembobolan yang dilakukan, komplotan pelaku mengajukan tuntutan pembayaran uang tebusan pemerasan pemulihan data sebesar 360 juta won (atau setara dengan 270.000 dolar AS) sebagai jaminan agar seluruh data curian tidak disebarluaskan ke ruang publik. Sebanyak lebih dari 8,2 juta baris berkas informasi sensitif diyakini telah berhasil disedot keluar secara ilegal dari sistem komputer organisasi-organisasi yang berhasil mereka lumpuhkan.

Beberapa kampanye siber berorientasi kecerdasan buatan lainnya yang berhasil didokumentasikan dan dipetakan oleh tim analis dalam beberapa pekan terakhir ini terangkum dalam uraian pengamatan di bawah ini –

"AI kini menjalankan fungsi ganda sebagai pengganda kekuatan daya serang sekaligus memperluas bentang permukaan serangan secara bersamaan," tegas perwakilan resmi dari firma Rapid7. "Teknologi kecerdasan buatan generatif secara nyata mengakselerasi metodologi serangan konvensional yang sudah mapan dengan memangkas kebutuhan waktu, menekan tuntutan kemahiran teknis, serta meminimalisasi koordinasi manual yang sebelumnya mutlak diperlukan untuk mengeksekusi operasi siber berskala masif."

"Alih-alih melahirkan kategori eksploitasi celah keamanan yang sepenuhnya baru di lanskap digital, para aktor ancaman justru mengintegrasikan kecerdasan buatan ke dalam alur kerja yang sudah ada guna mengindustrialisasi kampanye phising, mengotomatisasi tahapan pengintaian intelijen, serta menyempurnakan kode skrip peretasan berbahaya dengan presisi yang jauh lebih tajam dan kecepatan yang lebih tinggi."

Celah Keamanan TLS GoAhead Izinkan Sertifikat yang Dicabut dan Dekripsi Sesi

By admin

On October 28, 2026

In The Hacker News

Server web tersemat GoAhead dilaporkan telah memuat daftar pencabutan sertifikat ke dalam modul backend TLS default miliknya, namun tidak pernah benar-benar mengaktifkan proses verifikasi pencabutan tersebut. Akibatnya, sertifikat klien yang statusnya sudah dicabut tetap dapat menembus mekanisme autentikasi dan berhasil login pada konfigurasi perangkat yang terdampak.

Kelemahan keamanan ini terjadi secara spesifik pada varian build yang memanfaatkan backend OpenSSL bersamaan dengan arsitektur mutual-TLS (mTLS). Dalam skenario mTLS, server diharuskan memeriksa sertifikat milik klien begitu juga sebaliknya, di mana daftar pencabutan telah dikonfigurasi guna memblokir sertifikat yang dianggap tidak valid lagi.

Pengaturan semacam ini merupakan konfigurasi yang biasanya diaktifkan oleh operator jaringan secara manual, bukan konfigurasi bawaan dari instalasi awal. Versi perbaikan GoAhead 6.1.1, yang pertama kali diserahkan kepada para produsen perangkat pada tanggal 2 Agustus 2026 dan diumumkan kepada publik secara terbuka pada tanggal 12 Oktober, telah memperbaiki permasalahan mendasar ini.

GoAhead sendiri merupakan aplikasi web server berukuran ringkas yang dirancang untuk diintegrasikan oleh manufaktur perangkat ke dalam firmware guna mengelola antarmuka administrasi pada router, printer, gateway jaringan, serta pengontrol industri. Pengembangnya, EmbedThis, mengklaim bahwa aplikasi web server buatannya telah terpasang dan beroperasi di ratusan juta perangkat di seluruh dunia.

Kerentanan berbahaya ini berhasil diidentifikasi oleh Sébastien Féry dari FoxIO. Peneliti tersebut merinci temuan ini beserta dua permasalahan TLS lainnya melalui laporan analisis teknis yang dipublikasikan pada tanggal 26 Oktober.

Pada kompilasi build yang terdampak, sistem server berhasil membaca dan memuat file daftar pencabutan sertifikat saat awal mula dijalankan tanpa menampilkan pesan kesalahan apa pun. Hal tersebut secara keliru membuat operator yang mengonfigurasinya yakin bahwa sistem pemfilteran sertifikat telah berjalan normal. Padahal, verifikasi itu sama sekali tidak bekerja. Klien yang memegang sertifikat yang telah dicabut—misalnya perangkat yang dicuri atau unit lama yang telah dinonaktifkan—tetap dapat merampungkan proses handshake seolah-olah sertifikatnya valid, lalu meraih seluruh hak akses yang tersedia bagi identitas tersebut.

Berdasarkan pengujian teknis yang dilakukan FoxIO terhadap GoAhead versi 6.1.0 yang dipadukan dengan OpenSSL 3.6.2, sertifikat yang telah dicabut tetap diterima oleh sistem meskipun pemeriksaan pihak penerbit (issuer checking) telah diaktifkan.

Laporan peringatan keamanan OpenSSL menjelaskan insiden ini sebagai penerimaan sertifikat klien yang dicabut secara diam-diam. Supaya dapat dieksploitasi oleh peretas, build sistem harus menggunakan backend OpenSSL dengan kewajiban sertifikat klien diaktifkan, bundel otoritas sertifikat tepercaya serta pengecekan penerbit aktif, dan daftar pencabutan telah ditentukan; peretas juga wajib memegang sertifikat yang diterbitkan otoritas tepercaya namun tercatat telah dicabut. Di sisi lain, build yang mengandalkan backend Mbed TLS dipastikan aman karena modul tersebut menjalankan validasi pencabutan melalui jalur kode pemrograman terpisah.

Identifikasi resmi untuk kerentanan ini tercatat dengan kode CVE-2026-115881, dengan skor tingkat keparahan mencapai 9.1 menurut evaluasi EmbedThis. Hingga tanggal 27 Oktober, kode identifikasi tersebut maupun kode lainnya yang disebutkan di bawah ini belum terdaftar aktif dalam basis data publik CVE dan NVD; pihak EmbedThis menyatakan telah mengajukan pencatatannya. Seluruh penilaian tingkat keparahan yang dirilis sejauh ini merupakan estimasi internal dari pihak vendor.

Para peneliti juga mengungkap dua permasalahan teknis tambahan, yang masing-masing terkait erat dengan varian build TLS tertentu. Dikarenakan versi serta langkah penanganannya bervariasi, perbandingannya disesuaikan menurut backend yang dipakai.

Celah pada backend Mbed TLS hanya akan berdampak terhadap suatu sesi komunikasi apabila pihak klien bersedia menerima konfigurasi yang bermasalah tersebut. Pustaka modern seperti OpenSSL, bahasa pemrograman Go terkini, Java versi teranyar, maupun peramban web arus utama secara otomatis menolak nilai kunci yang sangat kecil dan beralih ke metode pertukaran kunci yang lebih kuat, sehingga sesi tidak pernah selesai terbentuk.

Kendati demikian, klien yang tidak menerapkan batasan ukuran minimal—seperti perangkat tersemat sederhana atau klien khusus tertentu—akan menerimanya secara langsung. Akibatnya, pihak ketiga yang berhasil menyadap dan merekam lalu lintas data dapat menghitung kunci enkripsi serta membaca seluruh isi sesi percakapan. Sesi TLS 1.3 dan ECDHE dinyatakan bebas dari risiko ini, dan Mbed TLS seri 4.x telah sepenuhnya meniadakan metode pertukaran kunci yang menjadi titik celah tersebut.

Sementara itu, kerentanan pada backend LibreSSL memungkinkan penyerang menyodorkan rantai sertifikat yang melebihi batas maksimal 10 sertifikat milik GoAhead, tetapi tetap sukses menuntaskan proses handshake sebagai klien terautentikasi tanpa membutuhkan kunci tepercaya.

Kelemahan tersebut hanya timbul pada build yang ditautkan dengan pustaka LibreSSL versi lawas sebagaimana dipaparkan di atas, dan sebatas pada konfigurasi yang mengharuskan sertifikat klien dengan fungsi pengecekan penerbit dimatikan. Pustaka OpenSSL, BoringSSL, AWS-LC, dan LibreSSL versi 4.x terbukti menolak rantai sertifikat yang terlalu panjang tersebut.

Pilihan backend beserta parameter pengaturan ditentukan sejak awal saat proses kompilasi firmware, membuat pemilik perangkat tidak bisa mengetahui konfigurasi mana yang diterapkan hanya dari luar. Faktor inilah yang mengakibatkan distribusi patch perbaikan berjalan lambat: pembaruan GoAhead 6.1.1 berupa penggantian komponen kode langsung yang harus dikompilasi ulang oleh manufaktur ke dalam firmware baru, dan pengguna akhir baru menerimanya jika pabrikan merilisnya. Hingga kini belum diketahui apakah ada pabrikan yang sudah meluncurkannya.

Per tanggal 27 Oktober, belum ditemukan adanya laporan pemanfaatan celah-celah tersebut dalam serangan nyata di lapangan. Kebijakan EmbedThis menyatakan embargo publikasi akan dihentikan lebih awal apabila suatu kerentanan diketahui sedang dieksploitasi atau dibocorkan pihak lain, sehingga jadwal rilis bersama pada 12 Oktober menandakan tidak adanya insiden penyerangan aktif.

Meski begitu, fakta ini tidak mutlak menjamin ketiadaan serangan tersembunyi. EmbedThis menyalurkan pemberitahuan pembaruan keamanan kepada para pelanggannya melalui portal Builder miliknya. Di sisi lain, FoxIO telah memublikasikan kode pembuktian konsep (PoC) dan menyediakan pola sidik jari lewat alat JA4Scan untuk mendeteksi keberadaan server GoAhead berdasarkan backend yang dipakai. Perangkat lunak pemindai tersebut disediakan gratis, namun kode sumbernya hanya diberikan atas permintaan khusus, serta hasil deteksi sidik jari hanya mengidentifikasi jenis build dan bukan memastikan kerentanan server.

Sejauh ini, tidak ada satu pun manufaktur yang tercatat sebagai pengguna GoAhead oleh EmbedThis—seperti HP, Oracle, Siemens, Canon, Rockwell, D-Link, maupun Comcast—yang terbukti menggunakan backend dan pengaturan yang rentan tersebut. Jumlah populasi perangkat terdampak secara pasti belum dapat dipastikan.

Pembaruan versi 6.1.1 tersebut secara keseluruhan menutup 11 peringatan keamanan, dengan tiga di antaranya tergolong dalam kategori kritis. Salah satu kerentanan kritis tersebut adalah bypass autentikasi login: pada build dengan mekanisme HTTP Basic atau form login, penyerang yang mengetahui username sah dapat masuk menggunakan kata sandi apa saja apabila kata sandi pengguna tersimpan dalam format Blowfish terbaru, format yang diperkenalkan GoAhead sejak versi 6.1.0. EmbedThis menyebutkan bahwa form login merupakan metode default pada antarmuka administrasi bawaannya.

Setelah melakukan proses peningkatan ke versi terbaru, EmbedThis sangat menganjurkan pengelola untuk memutus seluruh sesi yang masih aktif, memulai ulang server, dan segera memperbarui seluruh kata sandi yang tersimpan dalam format Blowfish.

Kunci Verifikasi Diretas, Keystone Bakal Musnahkan 18.835 Unit Hardware Wallet

By admin

On October 27, 2026

In The Hacker News

Seorang peretas yang menyusup ke situs resmi Keystone sukses mengambil kunci digital penting yang dipakai perangkat keras dompet kripto mereka demi membuktikan keasliannya, ungkap pihak perusahaan lewat keterangan resmi pada 26 Oktober.

Pelaku yang memegang kunci tersebut sanggup membikin perangkat tiruan yang mampu lolos dari proses pemeriksaan online yang biasa dimanfaatkan para pemilik untuk memvalidasi keaslian Keystone. Seorang pembeli yang mempercayai perangkat palsu itu berisiko kehilangan simpanan kripto miliknya, kendati kejadian ini sama sekali tidak menyentuh seed phrase pemulihan maupun private key milik pelanggan.

Guna mengatasi risiko, Keystone bersiap menghancurkan 18.835 unit perangkat yang belum terjual karena masih memuat kunci lama tersebut, lalu seluruh lini produk baru akan ditanami sistem kunci verifikasi yang sepenuhnya segar.

Manajemen Keystone menemukan infiltrasi tanpa izin ini sejak 20 Oktober, dan panduan yang mereka berikan ke pengguna bergantung erat pada waktu penerimaan unit bersangkutan. Untuk perangkat yang diterima selepas tanggal tersebut menggunakan kunci lawas, pihak produsen menyatakan: "Even if such a device passes authentication, we cannot completely rule out the possibility that it is counterfeit."

Para konsumen yang mendapati situasi semacam itu diminta lekas mengontak layanan dukungan Keystone dan dilarang menggunakannya sebelum ada kepastian konfirmasi keaslian resmi langsung dari tim perusahaan.

Sebaliknya, produk fisik yang diterima sebelum batas waktu 20 Oktober dan sukses melewati pengecekan mandiri dipastikan asli serta dapat terus dipakai layaknya biasa, menurut Keystone. Perusahaan hingga sekarang belum merilis kapan persisnya penyusup tersebut pertama kali masuk ke sistem.

Peretas menyalahgunakan celah keamanan pada salah satu perangkat lunak pemantauan data eksternal milik vendor pihak ketiga yang dihubungkan ke laman web Keystone guna menaikkan hak akses (escalate privileges), terang manajemen. Celah tersebut memuluskan jalan peretas menyita catatan data pelanggan sekaligus mengekstraksi kunci verifikasi perangkat.

Akses kriminal itu berhasil dihentikan Keystone pada 20 Oktober dan titik kerentanan perangkat lunak telah tuntas ditambal. Kendati demikian, mereka tidak membeberkan secara rinci tempat kunci itu disimpan sebelumnya.

Cara Kerja Pengecekan Perangkat

Pemilik perangkat melakukan pemindaian barcode QR di situs verifikasi Keystone menggunakan hardware wallet, kemudian memasukkan susunan kode yang tertampil di layar unit fisik kembali ke halaman situs.

Berdasarkan firmware bersumber terbuka (open-source) milik Keystone, kode QR tersebut memuat susunan karakter terenkripsi, yang kemudian dipecahkan atau didekripsi oleh perangkat lewat kunci pengaman bawaannya. Dengan demikian, kemunculan kode yang cocok merupakan bukti sah bahwa perangkat memang menyimpan kunci yang benar.

Kunci khusus tersebut hanya difungsikan sebatas proses pengecekan keaslian hardware saja. Kunci sama sekali tidak terlibat dalam mekanisme perumusan recovery phrase, proses pembentukan private key, ataupun pembubuhan tanda tangan transaksi transfer aset kripto.

Siapa saja yang berhasil menduplikasi kunci tersebut mampu mencetak kombinasi kode yang benar, sehingga unit palsu yang menyematkannya bakal lolos pengecekan keaslian. Barang kloningan berisiko didistribusikan atau dikirim langsung ke para pembeli, yang berujung pada aksi pengurasan saldo kripto pengguna, sebut Keystone. Pihak manajemen belum mencatat insiden peredaran alat palsu maupun kerugian aset nyata di lapangan.

Kunci pengaman disuntikkan secara permanen ke dalam tiap unit sejak tahap manufaktur di pabrik dan tidak bisa dihapus atau diperbarui ulang. Firmware menyimpannya dalam memori khusus tipe sekali tulis (write-once) yang tegas menolak penulisan kunci pengganti. Akibatnya, seluruh stok unit yang telah rampung diproduksi mustahil diubah ke kode kunci mutakhir.

Data Catatan Pelanggan

Keystone pertama kali membuka kabar insiden siber ini kepada publik pada 24 Oktober, dengan menyatakan bahwa pihak luar berhasil mencuri data pengiriman logistik para konsumen mereka.

Peristiwa kebocoran ini berdampak pada 25.964 data pesanan dari transaksi di portal belanja Keystone rentang 2024 sampai 2026, jelas perusahaan per 26 Oktober. Arsip data memuat identitas nama, nomor kontak, rincian alamat kirim, serta detail riwayat belanjaan. Sistem e-commerce Keystone beroperasi memakai Shopify, yang selama ini menyimpan dan mengelola data-data tersebut.

Informasi sensitif menyangkut data kartu kredit, rekening perbankan, hingga angka kartu tanda pengenal nasional tidak ikut bocor, tegas Keystone. Seluruh histori transaksi dari platform Amazon maupun kanal perdagangan alternatif milik Keystone juga dipastikan sepenuhnya terlindungi.

Keystone pun mencantumkan sebanyak 12.873 riwayat pesanan belum terbayar ke dalam pengumuman penanganan ini sebagai langkah pencegahan ekstra. Berkas digital tersebut berisi nama lengkap, kontak pribadi, serta rincian alamat dari pesanan yang sebelumnya batal diselesaikan pelanggan.

Sebagian dari data terimbas sejatinya harus sudah dibersihkan sejak awal. Keystone sebelumnya telah mengikrarkan janji untuk membersihkan berkas informasi pengiriman dalam waktu 180 hari sesudah transaksi pembelian berlangsung.

Akan tetapi, skrip otomatisasi internal yang dirancang Keystone guna membersihkan riwayat massal ternyata tidak bekerja secara optimal. Sebagian proses penghapusan data mengalami kegagalan sistem, dan Keystone terlambat menyadari kendala teknis tersebut.

Keystone lantas mempercepat jangka waktu retensi penyimpanan identitas pembeli dari 180 hari menjadi hanya 90 hari, yang langsung diberlakukan sekarang. Mereka telah menginstruksikan Shopify memusnahkan data pribadi konsumen yang melewati usia 90 hari dan dijadwalkan rampung pada 3 November. Per 27 Oktober, lembar kebijakan privasi situs masih mencantumkan masa simpan 180 hari.

Keystone saat ini aktif melayangkan pemberitahuan surel ke setiap pengguna terdampak, serta menyusun portal pengecekan mandiri untuk memfasilitasi publik meninjau status keamanan datanya.

Panduan Penting bagi Pemilik Keystone

Rekomendasi resmi dari Keystone mencakup skenario-skenario berikut:

Celah Microsoft Authenticator Android Izinkan Aplikasi Jahat Curi Token Akun Kerja

By admin

On October 27, 2026

In The Hacker News

Microsoft telah menambal kerentanan keamanan pada aplikasi Authenticator versi Android miliknya yang memungkinkan aplikasi berbahaya tanpa izin khusus menyamar menjadi program resmi Microsoft, seperti Teams, demi mengambil token login milik akun kerja korban.

Perusahaan teknologi tersebut melacak celah keamanan ini dengan kode pengenal CVE-2026-80097 serta merilis perbaikannya melalui pembaruan Authenticator untuk Android versi 6.2606.4246, sehingga seluruh pengguna aplikasi ini sangat disarankan untuk segera memperbaruinya.

Berdasarkan pengujian yang dijalankan para peneliti, token curian itu memberikan kendali penuh terhadap email, berkas kerja, dan kalender akun terkait. Namun pihak Microsoft menyebutkan bahwa eksploitasi celah ini tetap mengharuskan korban menyelesaikan tahapan login di dalam Authenticator, serta menegaskan masalah ini belum pernah digunakan dalam insiden penyerangan di dunia nyata.

Temuan ini berasal dari riset Ofek Levin yang tergabung dalam program fellowship pada perusahaan keamanan siber Enclave, yang baru menerbitkan laporan teknis lengkapnya pada 23 Oktober 2026. Microsoft secara resmi menetapkan kode CVE ini sejak 8 September dengan skor CVSS 8,6 yang tergolong dalam kategori risiko "Important" atau penting.

Pada ekosistem sistem operasi Android, Authenticator memegang peran lebih dari sekadar penampil kode otentikasi enam angka. Perangkat lunak ini turut berfungsi sebagai perantara login: saat Teams, Outlook, atau layanan Microsoft lainnya meminta otorisasi pengguna, program tersebut akan meminta izin ke Authenticator, lalu Authenticator akan menyerahkan kembali sebuah token, yakni tiket digital pengesah bahwa pengguna sah sudah terhubung. Mengingat peran perantara ini memegang wewenang penuh atas seluruh akun, mekanisme tersebut semestinya sangat teliti dalam memvalidasi keabsahan aplikasi pemohon.

Kelemahan sistemik ini justru membuka pintu bagi program tak bertanggung jawab untuk memperoleh token tersebut. Authenticator mengekspos sebuah komponen berupa aktivitas dengan nama AccountChooserActivity yang bebas dijalankan oleh aplikasi mana pun di ponsel. Ketika aplikasi pelaku mengeksekusi aktivitas itu, Authenticator menyusun permohonan token berdasarkan data kiriman aplikasi pelaku, termasuk nama perangkat lunak yang sedang diklaimnya. Saat aplikasi mengaku bertindak sebagai Teams, komponen perantara tersebut langsung memercayainya begitu saja.

Pemeriksaan tanda tangan digital seharusnya mampu menggagalkan penipuan identitas ini, namun langkah itu ternyata tidak berjalan efektif. Sistem verifikasi hanya mencari berkas tanda tangan sah dari aplikasi resmi yang dipalsukan dan memverifikasi apakah permohonan itu cocok dengannya. Karena aplikasi Teams memang sudah terpasang asli di perangkat tersebut, tanda tangan resminya terbaca jelas, sehingga pemeriksaan verifikasi berhasil lolos tanpa hambatan.

Pihak Enclave mengungkap bahwa Authenticator sebenarnya mampu mendeteksi identitas asli dari aplikasi pengirim permohonan tersebut, namun sistem sama sekali tidak menggunakan data identitas itu untuk memutuskan apakah token berhak diserahkan atau ditahan.

Pada uji coba Enclave, upaya menyamar sebagai Teams dan meminta akses token Microsoft Graph sukses memberikan hak membaca serta mengirim pesan surel, melihat serta menulis dokumen, sampai mengakses jadwal kalender, di samping berbagai izin sensitif lainnya.

Microsoft menerangkan konsekuensi celah tersebut dalam cakupan yang lebih luas: peretas yang berhasil dapat masuk sebagai pengguna yang terotentikasi dan menguras data milik pengguna itu. Token curian ini hanya berdampak pada akun kerja yang sedang aktif pada Authenticator di perangkat bersangkutan, dan tidak mencakup akun lainnya.

Meski begitu, terdapat satu perbedaan keterangan di antara kedua pihak yang patut disimak pembaca. Enclave mencatat bahwa konsep bukti serangan mereka sanggup merampas token secara otomatis tanpa butuh interaksi pengguna, selain keharusan adanya akun yang telah masuk pada perangkat.

Sebaliknya, dokumen imbauan Microsoft menegaskan eksploitasi menuntut pemasangan aplikasi jahat di perangkat serta bujukan kepada korban agar menyelesaikan rangkaian otentikasi dalam Authenticator. Penilaian skor CVSS dari mereka juga secara jelas mencantumkan perlunya interaksi aktif dari pengguna korban.

Microsoft menegaskan bahwa kelemahan ini belum sempat disalahgunakan dan tidak dipublikasikan ke publik sebelum ditambal, serta memprediksi risiko eksploitasi berkategori "kurang mungkin." Masalah ini dirilis sebagai agenda Patch Tuesday September 2026 dan bukan bagian dari dua kerentanan Windows yang saat itu telah terdeteksi diserang aktif. Kerentanan ini juga belum tercatat pada daftar Known Exploited Vulnerabilities milik CISA AS per 26 Oktober 2026.

Tindakan penanganannya adalah memasang pembaruan Microsoft Authenticator Android ke versi 6.2606.4246 atau rilis lebih baru, seperti yang tertera di dokumen pengumuman Microsoft. Perusahaan yang mengelola perangkat Android dapat menetapkan versi minimal tersebut melalui sistem manajemen perangkat kerja. Panduan Microsoft memuat arahan perbaikan tersebut, namun tidak menyebutkan apakah pembaruan ini otomatis mencabut token yang telanjur didapat aplikasi jahat, sehingga status token lama masih belum jelas dari sumber yang tersedia.