Ringkasan

Minggu ini padat dengan RCE: bug di regex engine Ruby (Onigmo) ternyata ada di balik empat celah RCE kritis yang baru dipatch GitLab, bug decoder Brotli di Node.js ternyata menyebar ke Envoy dan mungkin OpenSSL, dan Apache Vysper punya auth bypass CVSS 8.8 yang tidak akan pernah diperbaiki karena proyeknya sudah pensiun. Yang paling butuh tindakan cepat: tim yang pakai Ruby/GitLab, Node.js, atau Java (ada zero-day CA eMudhra) harus patch duluan; nginx, Perl, PHP, dan Godot menyusul.

1. Ruby regex engine (Onigmo) jadi akar empat RCE kritis di GitLab

Ruby merilis 4.0.9, 3.4.12, dan 3.3.13 untuk memperbaiki tiga bug di Onigmo, regex engine bawaan Ruby. Ketiga bug ini adalah akar dari empat celah keamanan kritis yang sudah dipatch GitLab dalam sebulan terakhir — pattern regex yang dibuat khusus bisa merusak memori saat Ruby mengompilasinya, yang berpotensi mengarah ke eksekusi kode di server GitLab sendiri. Artikel tidak menyebut CVE ID atau versi GitLab spesifik. Tindakan: upgrade Ruby ke 4.0.9 / 3.4.12 / 3.3.13, dan pastikan instance GitLab sudah di versi terbaru yang sudah dipatch. The Hacker News

2. Node.js Brotli decoder RCE (CVE-2026-111497) — bukan cuma soal Node.js

Node.js 22.x, 24.x, dan 26.x kena out-of-bounds write di decoder Brotli yang memungkinkan RCE (severity: high). Node merilis versi baru pada/setelah 21 Oktober 2026. Yang penting: bug ini sebenarnya ada di library Google brotli itu sendiri, jadi ikut berdampak ke Envoy (advisory GHSA-3wvj-j6qm-62mr) dan kemungkinan ke OpenSSL saat memproses compressed certificates lewat brotli. Ubuntu sendiri baru menilainya "medium priority", yang menurut salah satu peserta diskusi oss-security mungkin meremehkan dampaknya. Tindakan: upgrade Node.js ke rilis terbaru di masing-masing release line (22/24/26), lalu cek juga komponen lain di stack kalian yang me-link brotli langsung (Envoy, library kompresi lain) — jangan asumsikan "tidak pakai Node.js jadi aman". oss-security mailing list

3. Apache Vysper: authorization bypass yang tidak akan pernah diperbaiki (CVE-2026-115748)

CVSS 3.1 8.8 (high), severity important. Semua versi Apache Vysper (library server XMPP/Jabber) kena masalah ini: implementasi XEP-0077 (In-Band Registration) tidak punya authentication check, jadi user terautentikasi mana pun bisa mengambil alih akun lain. Proyek ini sudah berstatus retired, jadi tidak akan ada fix yang dirilis. Tindakan: kalau masih memakai Apache Vysper, mulai cari penggantinya — tidak ada patch yang akan datang. oss-security mailing list

4. Azul Zulu (OpenJDK): 53 CVE kuartalan, lalu zero-day sehari kemudian

Update kuartalan Azul Zulu Builds of OpenJDK (Java 27, 25, 21, 17, 11, 8, 7, 6) tanggal 20 Oktober 2026 menambal 53 CVE. Sehari kemudian, 21 Oktober, Azul merilis update out-of-cycle untuk zero-day: Mozilla mengumumkan private key dari delapan sertifikat intermediate CA eMudhra bocor, yang berarti siapa pun yang pegang key itu bisa menerbitkan sertifikat untuk domain apa pun dan tetap dipercaya chain-of-trust. Karena Java secara default tidak mengecek revocation, aplikasi Java akan tetap mempercayai sertifikat palsu itu sampai diblokir di level JDK. Azul merilis out-of-cycle build untuk Zulu Builds of OpenJDK (27, 25, 21, 17, 11, 8, 7, 6) dan Zing Builds of OpenJDK (25, 21, 17, 11, 8) yang menambahkan kedelapan sertifikat tersebut ke blocklist di konfigurasi CPU maupun PSU. Tindakan: install out-of-cycle build segera. Kalau sudah pasang update kuartalan duluan, kalian tetap perlu update lagi ke build out-of-cycle — build ini menggantikan yang kuartalan. Kalau belum bisa update sekarang, Azul menyediakan workaround sementara lewat security properties di release notes. Foojay.io

5. Perl IO::Compress::Brotli bawa bug decoder yang sama (CVE-2026-115936)

Distribusi IO-Compress-Brotli versi 0.004001 sampai sebelum 0.023 membundel brotli versi 1.0.4–1.2.0 secara statis, yang membawa out-of-bounds write di decoder — persis bug CVE-2026-111497 di atas. Karena dibundel (bukan link ke system library), upgrade brotli di sistem tidak menolong. Siapa pun yang men-decompress data tidak tepercaya lewat unbro atau method decompress kena exposure: memory corruption, kebocoran memori, crash, sampai potensi eksekusi kode arbitrer. Tindakan: upgrade ke IO-Compress-Brotli 0.023 atau lebih baru (versi ini mengupdate brotli bundled-nya ke 1.2.1). oss-security mailing list

6. nginx: tiga CVE, dua di antaranya berpotensi RCE

Advisory F5 (merujuk ke nginx.org) menyebut nginx open source sebelum versi 1.31.7 atau 1.30.6 terdampak tiga isu, severity medium semua tapi dua punya potensi RCE:

  • CVE-2026-97205 — use-after-free di ngx_http_core_module saat AIO aktif memproses SSI include virtual; bisa memicu memory corruption atau worker crash, dan RCE kalau ASLR nonaktif/bisa dibypass.
  • CVE-2026-97629 — kalau ssl_session_cache shared:<name>:<size> dipakai tanpa directive ssl_session_ticket_key eksplisit untuk rotasi key, attacker remote tak terautentikasi bisa memalsukan sesi TLS client secara non-deterministik, membypass verifikasi client certificate.
  • CVE-2026-95101 — request body injection di HTTP/3 saat dipakai dengan proxy_* (detail lanjutan terpotong di sumber).

Tindakan: upgrade ke nginx 1.31.7 (mainline) atau 1.30.6 (stable) atau yang lebih baru. oss-security mailing list

7. PHP: risiko RCE baru yang belum dipatch (CVE-2026-115560)

Dua hari setelah merilis patch darurat untuk celah kritis "PHP2Shell", PHP mengumumkan risiko RCE lain, CVE-2026-115560. Celah ini hanya berdampak pada aplikasi web dengan konfigurasi yang tidak umum, dan PHP menilainya sebagai risiko yang kecil kemungkinannya terjadi — karena itu tidak ada emergency fix, hanya rekomendasi untuk mematikan satu fitur tertentu (sumbernya tidak merinci nama fiturnya). Tindakan: cek apakah konfigurasi kalian termasuk kategori "tidak umum" yang disebut PHP, dan ikuti rekomendasi mereka untuk menonaktifkan fitur terkait sambil menunggu detail lebih lanjut. Pastikan juga patch darurat PHP2Shell sebelumnya sudah terpasang. The Hacker News

8. Godot 4.x/3.x: heap out-of-bounds write di binary resource loader

Negative string length pada resource loader binary Godot bisa memicu heap out-of-bounds write. Fix untuk 4.x sudah merge ke master lewat PR #124699 (merge commit d9f4c99f0a, 20 Oktober 2026): ResourceLoaderBinary::get_unicode_string dan get_ustring sekarang menolak panjang negatif serta panjang yang melebihi sisa ukuran file, dan get_ustring return early untuk panjang nol. Backport 3.x (PR #124700, merge tanggal sama) menambahkan perbaikan lain: parse_utf8 sekarang diberi panjang string, menutup out-of-bounds read pada file dengan panjang valid tapi tanpa null terminator. Tidak ada CVE ID atau severity resmi yang disebutkan. Tindakan: tarik build dari master setelah commit d9f4c99f0a (4.x) atau PR #124700 (3.x) kalau kalian memuat resource binary dari sumber yang tidak tepercaya. oss-security mailing list

Checklist

  • [ ] Upgrade Ruby ke 4.0.9 / 3.4.12 / 3.3.13, pastikan instance GitLab di versi terbaru yang sudah dipatch.
  • [ ] Upgrade Node.js 22/24/26 ke rilis security terbaru, audit komponen lain yang me-link brotli (Envoy, dll).
  • [ ] Cari pengganti Apache Vysper — tidak akan ada patch untuk CVE-2026-115748.
  • [ ] Install out-of-cycle update Azul Zulu/Zing OpenJDK (blocklist CA eMudhra) segera, meski sudah pasang update kuartalan.
  • [ ] Upgrade IO-Compress-Brotli (Perl) ke 0.023+.
  • [ ] Upgrade nginx ke 1.31.7 / 1.30.6 atau lebih baru; cek konfigurasi AIO+SSI dan ssl_session_ticket_key.
  • [ ] Review konfigurasi PHP yang tidak umum terkait CVE-2026-115560 dan terapkan mitigasi PHP; pastikan patch PHP2Shell sudah terpasang.
  • [ ] Update Godot ke build yang sudah berisi fix PR #124699/#124700 kalau memuat resource binary tidak tepercaya.

---

Sumber yang dirangkum: