Ringkasan

Minggu ini padat: ada bug kritis yang sudah dieksploitasi aktif di alam liar (Node-RED) dan satu insiden supply-chain nyata (cPGuard), ditambah rilis keamanan rutin dari Rails, Django, dan Pillow, plus bug penting di Barracuda, ActiveMQ, dan CGI Perl. Tim yang menjalankan Node-RED (termasuk perangkat ICS/OT berbasis Siemens SIMATIC IoT2050) dan siapa pun yang pernah menjalankan update cPGuard harus bertindak duluan.

Node-RED HTTP interface tanpa autentikasi, sudah dieksploitasi

CVE-2026-58115 (CVSS 10/10) adalah missing authentication di HTTP interface Node-RED yang memberi akses ke programming node untuk menjalankan command sistem. Siemens menemukannya di SIMATIC IoT2050 Advanced yang menjalankan Industrial OS dengan Node-RED. VulnCheck melaporkan eksploitasi sukses sejak 30 Oktober dari satu IP di jaringan Microsoft (AS8075), yang membuat flow Node-RED berbahaya, menariknya otomatis, lalu mengunduh binary bot Linux lewat tiga lapis encoding tanpa cek keberhasilan instalasi; sampai 1 November tercatat 15 serangan tambahan dari IP yang sama, termasuk pemasangan webshell persisten. Perbaikan ada di SIMATIC IoT2050 Advanced versi 4.3.4.1 dan setelahnya — segera patch atau pastikan adminAuth aktif di instance Node-RED kalian. SecurityWeek

Update channel cPGuard dibajak, backdoor + pencurian hash password

Pada 2 November, penyerang membobol sistem update cPGuard dan mengirim skrip berbahaya ke server Linux pelanggan. Skrip itu memasang backdoor serta mengumpulkan password hash dan file sensitif lain; OPSSHIELD (pembuat cPGuard) mengonfirmasi data tersebut sudah diambil. Versi yang disebut terdampak adalah cPGuard 5.88.25 dan versi setelahnya. Kalau server kalian menjalankan cPGuard, anggap kredensial di dalamnya bocor dan mulai proses incident response (rotasi kredensial, cek backdoor, cek file yang diubah). The Hacker News

Barracuda: dua bug dirangkai jadi akses root

Barracuda mengungkap dua celah — bypass otorisasi pre-autentikasi dan command injection — yang jika dirangkai memungkinkan penyerang melewati kontrol otorisasi dan mendapat akses root ke perangkat yang rentan. Diberi CVE-2026-116606 dengan skor CVSS 9.3. Artikel belum merinci produk dan versi yang terdampak secara spesifik maupun langkah mitigasi — pantau advisory resmi Barracuda untuk detail patch. The Hacker News

Rails 8.0.5.2 dan 8.1.4.1: 21 isu keamanan, termasuk satu Critical

Rilis Rails 8.0.5.2 dan 8.1.4.1 menambal 21 isu. Yang paling parah: GHSA-f3w6-w445-fwh9, kemungkinan arbitrary file write/read di analisis gambar Active Storage (Critical). Lalu ada beberapa High: GHSA-v924-7rp8-4mxh (arbitrary file read + RCE di video preview/analisis/image processing Active Storage), GHSA-wm3x-v3qw-4jh3 (bypass Strong Parameters lewat Parameters#each_key di Action Pack), GHSA-2gff-2mmg-m73p (IP spoofing di Action Dispatch RemoteIp, khusus 8.1), dan GHSA-8474-xrp6-wh69 (DoS di safe_constantize Active Support). Sisanya XSS tingkat Medium di beberapa helper Action View. Upgrade ke Rails 8.0.5.2 atau 8.1.4.1; catat juga dukungan seri 8.0 berakhir 7 November 2026. oss-security mailing list

Pillow: eksekusi kode lewat file EPS yang dimanipulasi

Flaw kritis di Pillow memungkinkan eksekusi kode lewat file EPS yang dibuat khusus. Sudah diperbaiki di Pillow 13.0.0 beserta beberapa isu lain. Segera upgrade library Pillow di proyek Python kalian. PyCoder's Weekly via Planet Python

CGI Perl: 20 CVE sebelum versi 5.00

Modul CGI untuk Perl sebelum versi 5.00 punya 20 CVE, mencakup DoS lewat regex pada CGI::Cookie dan Content-Type XForms (CVE-2026-120631, CVE-2026-120632), kepercayaan buta pada header X-Forwarded-Host (CVE-2026-120633), kebocoran warning antar-request di CGI::Carp (CVE-2026-120634), penyelundupan form field lewat parsing multipart yang menyimpang dari RFC (CVE-2026-120635), open redirect dan script injection lewat REQUEST_URI (CVE-2026-120636), parameter request yang diambil dari argumen command line (CVE-2026-120637), open redirect lewat decoding HTML entity setelah validasi aplikasi (CVE-2026-120638), header injection lewat decoding entity setelah pengecekan newline (CVE-2026-120639), parameter POSTDATA/PUTDATA/PATCHDATA/XForms:Model yang bisa diisi dari query string (CVE-2026-120640), path traversal pada nama file upload (CVE-2026-120641), serta nilai request yang tidak ter-untaint di bawah taint mode (CVE-2026-120642). Upgrade ke CGI versi 5.00. oss-security mailing list

ActiveMQ: akses tulis bertahan setelah ACL dicabut

CVE-2026-111822 (severity important) membuat koneksi yang sudah terautentikasi tetap bisa menulis ke destination meski plugin runtime-config baru saja mencabut hak tulisnya, termasuk lewat anonymous producer baru — sementara koneksi dan producer baru yang eksplisit sudah ditolak sesuai aturan terbaru. Terdampak: Apache ActiveMQ 6.0.0 sebelum 6.3.3 dan sebelum 5.19.12, serta ActiveMQ Runtime Config pada rentang versi yang sama. Upgrade ke 6.4.0, 6.3.3, atau 5.19.12. oss-security mailing list

Django 6.1.3, 6.0.10, 5.2.19: isu severity low

Rilis ini menambal CVE-2026-108147 (memory exhaustion di MultiPartParser lewat upload file ber-encoding base64 yang dibuffer penuh di memori, mengabaikan FILE_UPLOAD_MAX_MEMORY_SIZE) dan CVE-2026-111211 (log injection lewat nilai GeometryField pada django.contrib.gis.forms yang tidak di-escape, bisa menyisipkan karakter kontrol ke log). Keduanya severity low menurut Django Security Policy. Ada juga CVE-2026-111362, SSRF lewat field crs pada geometry GeoJSON karena GDAL masih meresolusi URL CRS lama, yang kini divalidasi dan ditolak oleh Django. Upgrade ke Django 6.1.3, 6.0.10, atau 5.2.19. Django Weblog via Planet Python

Checklist

  • [ ] Patch atau nonaktifkan akses tanpa autentikasi di semua instance Node-RED (termasuk SIMATIC IoT2050 Advanced ke 4.3.4.1+); cek indikator webshell/backdoor jika terekspos ke internet
  • [ ] Audit server mana saja yang pernah menjalankan update cPGuard sejak 2 November; rotasi kredensial dan cari backdoor
  • [ ] Pantau advisory Barracuda untuk detail produk/versi dan patch CVE-2026-116606
  • [ ] Upgrade Rails ke 8.0.5.2 / 8.1.4.1 sebelum dukungan seri 8.0 berakhir 7 November 2026
  • [ ] Upgrade Pillow ke 13.0.0
  • [ ] Upgrade modul CGI Perl ke 5.00
  • [ ] Upgrade Apache ActiveMQ / Runtime Config ke 6.4.0, 6.3.3, atau 5.19.12
  • [ ] Upgrade Django ke 6.1.3 / 6.0.10 / 5.2.19

---

Sumber yang dirangkum:

Baca juga