Minggu ini saya kumpulkan delapan celah yang menurut saya layak masuk radar tim. Yang paling mendesak: pengguna PHP kena PHP2Shell yang sudah terbukti menghasilkan shell nyata di honeypot, siapa pun yang punya dependensi ke Brotli (hampir semua orang lewat Node.js, .NET, PowerShell, Bun, Envoy, atau Istio) kena Node2Shell dengan CVSS 9.2, dan siapa pun yang mengandalkan Go runtime untuk verifikasi TLS perlu pastikan sudah di rilis darurat terkait insiden PKI eMudhra.

PHP2Shell: RCE PHP yang kini benar-benar dieksploitasi

Dilacak sebagai CVE-2026-109618 dan CVE-2026-109619, celah kritis ini memungkinkan RCE tanpa autentikasi. PHP sudah merilis patch pada 21 Oktober, tapi eksploitasi sudah dimulai sebelum fix keluar dan tercatat jutaan percobaan. Yang baru: peneliti Perplexity mengonfirmasi eksekusi kode nyata lewat rangkaian empat tahap permintaan HTTP (menghabiskan memori, membocorkan isi memori, lalu menjalankan command shell) di honeypot PHP 8.4.26/Apache mod_php — sebelumnya baru crash, belum ada RCE terkonfirmasi. Yang harus dilakukan sekarang: pastikan instalasi PHP sudah memakai build yang memuat patch 21 Oktober untuk kedua CVE ini. The Hacker News

Node2Shell: celah Brotli CVSS 9.2 yang merembet ke banyak stack

CVE-2026-111497, out-of-bounds write di decoder Brotli versi 1.0.3 sampai 1.2.0, diberi skor CVSS v4 9.2 (kritis) oleh Google. Input yang dibuat khusus bisa mendorong data melewati batas buffer decoder, menyebabkan crash, kebocoran memori, atau — menurut Node.js — eksekusi kode arbitrer oleh penyerang tak terautentikasi. Imperva sudah mendemonstrasikan eksekusi kode pada image resmi Node.js 24.22.0 Linux arm64 lewat Express 5/body-parser 2. Fix: upgrade ke Brotli 1.0.10, 1.1.1, atau 1.2.1; Node.js dan dua paket Python sudah patch minggu lalu, Microsoft menyusul 25 Oktober untuk .NET, Visual Studio, dan PowerShell, plus Bun, Envoy, dan Istio juga sudah update. SecurityWeek

eMudhra: root CA lemah, Go rilis patch darurat dalam 7,5 jam

Mozilla memblokir delapan sertifikat intermediate eMudhra (enam untuk TLS, dua code signing) di OneCRL setelah peneliti menemukan kunci privatnya bisa direkonstruksi dalam microsecond. Karena root eMudhra ada di hampir semua trusted root program, penyerang bisa menandatangani sertifikat TLS palsu untuk domain apa pun tanpa perlu membuktikan kontrol atas domain tersebut — membuka jalan MITM terhadap koneksi TLS apa pun. Tim keamanan Go mendapat laporan 19 Oktober dan merilis rilis keamanan URGENT pertama mereka sekitar 7,5 jam kemudian untuk melindungi verifier TLS di net/http dan crypto/tls. Yang harus dilakukan sekarang: pastikan toolchain/runtime Go sudah di versi rilis darurat tersebut. Go blog

Wasmtime: dua celah kritis bisa lolos dari sandbox WebAssembly

Dua flaw kritis di Wasmtime memungkinkan modul WebAssembly berbahaya keluar dari sandbox yang seharusnya mengisolasinya; satu di antaranya hanya berdampak pada sistem ARM64. Prasyaratnya, penyerang perlu mengompilasi modul mereka sendiri di build Wasmtime yang rentan. Maintainer sudah merilis versi yang sudah diperbaiki — segera update ke rilis terbaru Wasmtime, terutama jika menjalankan di ARM64. The Hacker News

Godot 4.x: RCE lewat file .po, belum ada patch resmi

Loader .po di Godot 4.1.0 hingga 4.7.2 (terkonfirmasi jalan di export resmi 4.7-stable, tidak ada jalur serupa di 3.5) menyimpan header Plural-Forms tanpa validasi, lalu mengevaluasinya lewat Expression evaluator milik engine. Header yang dibuat khusus bisa memanggil bytes_to_var_with_objects() untuk mendeserialisasi objek GDScript dengan properti script/source yang dikendalikan penyerang, sehingga script tersebut terkompilasi dan static initializer-nya langsung berjalan. Dampaknya: GDScript pilihan penyerang berjalan dengan privilese proses game, saat game yang memuat file .po komunitas menampilkan string plural. Status per 26 Oktober: belum dipatch di master maupun 4.7.2/4.7.1/4.7; dua PR maintainer (#123130, #123857) belum merge; CVE sudah diajukan (CAN-2026-2040826). Mitigasi sementara: jangan memuat file terjemahan .po dari sumber komunitas yang tidak dipercaya sampai ada patch resmi. oss-security

git-annex: eksfiltrasi data lintas repository lewat special remote

CVE-2026-112818 memungkinkan eksfiltrasi data lintas repository jika penyerang menguasai salah satu remote milik victim (misalnya repo yang victim clone) dan tahu sedikit informasi soal file terannex privat victim. Saat victim menjalankan git-annex (misalnya git-annex sync --content), special remote milik penyerang yang auto-enable bisa menarik file privat victim dan mengirimkannya ke penyerang. Varian lain: penyerang menunggu victim mengaktifkan special remote mereka sendiri (misalnya S3 bucket), lalu mengubah konfigurasinya agar menarget special remote privat victim. Fix: git-annex 10.20261026 sudah merilis perbaikan, dengan patch backport tersedia untuk versi 10.20250416, 10.20251029, dan 10.20261006. oss-security

GNU patch 2.8.1: pembuatan file di luar direktori target

CVE-2026-115207: saat reverse-apply sebuah patch yang menghapus file, patch membuat file tersebut tanpa memeriksa apakah pathname-nya aman — memungkinkan pembuatan file out-of-tree. GNU patch 2.8.1 sudah merilis fix untuk bug kritis ini, lengkap dengan checksum sha256 dan signature GPG. Yang harus dilakukan: upgrade ke GNU patch 2.8.1. oss-security

GPAC/MP4Box: use-after-free, severity medium (DoS)

CVE-2025-60467 (CVSS 3.1: 4.3, medium), use-after-free di gf_filter_pid_inst_swap_delete_task saat MP4Box memproses file MPEG-2 TS yang dibuat khusus. gf_filter_pid_inst_swap_delete() membebaskan alokasi pid_inst sebelum task delete yang terjadwal sempat dieksekusi, sehingga task tersebut melakukan READ dari struktur yang sudah dibebaskan dan menyebabkan crash (DoS). Butuh interaksi pengguna untuk membuka file, tanpa autentikasi khusus. Reproducible di branch master GPAC saat ditemukan. Yang harus dilakukan: update ke commit fix GPAC/MP4Box terbaru. oss-security

Checklist tindakan

  • [ ] Pastikan PHP sudah di versi yang memuat patch 21 Oktober untuk CVE-2026-109618/CVE-2026-109619
  • [ ] Upgrade Brotli ke 1.0.10/1.1.1/1.2.1, atau pastikan Node.js, .NET, Visual Studio, PowerShell, Bun, Envoy, Istio sudah ter-update untuk CVE-2026-111497
  • [ ] Verifikasi toolchain/runtime Go sudah di rilis URGENT terkait insiden eMudhra
  • [ ] Upgrade Wasmtime ke versi fixed terbaru, terutama untuk deployment ARM64
  • [ ] Hindari memuat file .po komunitas yang tidak dipercaya di Godot 4.1.0–4.7.2 sampai patch resmi rilis
  • [ ] Upgrade git-annex ke 10.20261026 atau terapkan patch backport untuk CVE-2026-112818
  • [ ] Upgrade GNU patch ke 2.8.1 untuk CVE-2026-115207
  • [ ] Update GPAC/MP4Box ke commit fix terbaru untuk CVE-2025-60467

---

Sumber yang dirangkum:

Baca juga