Laporan Riset Security System Global — 2026-09-07

CISA menyebut seluruh item berikut ditambahkan berdasarkan **bukti eksploitasi aktif**. CVSS NVD belum tersedia untuk sebagian besar item; jangan menganggap “CVSS belum ada” berarti risikonya rendah. | CVE | Produk/versi terdampak | Dampak dan status | CVSS/status | Tindakan | |---|---|---|---|---| | [CVE-2026-9586](https://nvd.nist.gov/vuln/detail/CVE-2026-9586) | Sangoma Switchvox SMB Edition 8.3 (104997) | SQL injection unauthenticated pada endpoint `/pa`; NVD menjelaskan dampak dapat mencakup operasi database dan RCE. **KEV/aktif dieksploitasi.** | NVD: belum dinilai | Upgrade Switchvox ke rilis vendor yang telah memperbaiki; batasi akses internet; periksa query/database dan proses anak abnormal. | | [CVE-2026-48710](https://nvd.nist.gov/vuln/detail/CVE-2026-48710) | Kludex Starlette **<1.0.1** | HTTP request/response smuggling dan kemungkinan bypass kontrol berbasis URL akibat validasi `Host` yang tidak memadai. **KEV/aktif dieksploitasi.** | NVD: belum dinilai | Upgrade ke **≥1.0

- [CVE-2026-85046](https://nvd.nist.gov/vuln/detail/CVE-2026-85046) adalah **type confusion pada V8**. - NVD menyatakan Chrome sebelum versi perbaikan dapat memungkinkan remote attacker mengeksekusi kode dalam sandbox melalui halaman HTML yang dibuat khusus. - NVD mencatat Chromium security severity: **High**; NVD belum menetapkan skor numerik. - CISA menambahkannya ke KEV pada 4 September dan menetapkan tenggat FCEB 18 September 2026. [CISA, 4 Sep 2026](https://www.cisa.gov/news-events/alerts/2026/09/04/cisa-adds-one-known-exploited-vulnerability-catalog) **Tindakan:** paksa pembaruan Chrome/Chromium/produk berbasis Chromium pada endpoint, verifikasi versi aktual setelah update, dan prioritaskan perangkat administrator, developer, finance, serta perangkat yang mengakses sistem sensitif.

Cisco menerbitkan beberapa advisory pada 2 September, termasuk: - IOS XR security hardening issues: beberapa CVE dengan rating **Critical** dan CVSS **9.8**. - [CVE-2026-20212](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-n9k-s1-rce-EH8dEtr) pada Cisco Nexus 9000 Series Switches Silicon One, tercatat **Critical/CVSS 9.8** dalam advance notification Cisco. - Cisco merekomendasikan upgrade ke fixed software; tidak ada workaround umum yang dinyatakan pada advance notification. [Cisco PSIRT](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-notice-f2SiMFxl) **Analisis:** perangkat jaringan dan management plane perlu diperlakukan sebagai aset prioritas P0/P1, meskipun belum semua item tersebut tercatat di KEV. ## 3) Kampanye malware, phishing, ransomware, dan cloud/identity

**Fakta terverifikasi dari Unit 42:** - Operasi berlangsung setidaknya Januari–April 2026. - Menargetkan lebih dari 150 karyawan pada sedikitnya 10 perusahaan. - Pelaku menggunakan akun Teams eksternal dan nama yang menyerupai help desk/IT support. - Korban diarahkan untuk memasang RMM seperti AnyDesk atau malware khusus. - Varian yang lebih maju berlanjut ke serangan NTLM relay terhadap domain controller. [Unit 42](https://unit42.paloaltonetworks.com/spring-ring-voice-phishing-campaigns) **Pemetaan ATT&CK — analisis defensif:** - **T1566 / T1566.002:** phishing melalui layanan komunikasi atau link. - **T1219:** remote access software/RMM. - **T1557.001:** NTLM relay atau adversary-in-the-middle terhadap autentikasi. - **T1078:** valid accounts, bila kredensial atau token berhasil diperoleh. **Deteksi:** alert untuk instalasi AnyDesk/RMM yang tidak disetujui, Teams chat dari tenant eksternal dengan nama help desk, autentikasi NTLM yang tidak biasa, SMB/LDAP dari workstation ke domain c

**Fakta terverifikasi dari Google Threat Intelligence Group/Mandiant:** - Menargetkan sektor finansial, ritel, dan e-commerce di Brasil. - Taktiknya mencakup password spraying, voice call yang menyamar sebagai IT support, instalasi AnyDesk, penggunaan situs pemerintah yang telah dikompromikan untuk social engineering/C2, serta pengumpulan kredensial dan pergerakan lateral. - GTIG menyebut penggunaan Impacket, ADRecon, ADVipscan, PowerShell, dan utilitas LDAP brute-force REALBREEZE. - Malware yang dilaporkan termasuk XWORM dan komponen khusus. [Google GTIG/Mandiant, 1 Sep 2026](https://cloud.google.com/blog/topics/threat-intelligence/financially-motivated-threat-actor-breeze-comet-targets-brazil) **Pemetaan ATT&CK — analisis berdasarkan perilaku yang dilaporkan:** - **T1110.001:** password guessing/spraying. - **T1219:** remote access software. - **T1059.001:** PowerShell. - **T1003.003:** NTDS atau kredensial domain, bila terjadi dumping kredensial. - **T1021:** remote services/lateral

CISA melaporkan aktor yang dikaitkan dengan Rusia menargetkan Zimbra Collaboration Suite menggunakan password spraying, phishing, pass-the-cookie, dan eksploit **CVE-2025-66376** yang telah dipatch pada November 2025. Kampanye tersebut disebut masih berhasil dieksploitasi terhadap organisasi pemerintah dan komersial Barat. [CISA AA26-204A](https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-204a) **Tindakan:** pastikan seluruh Zimbra telah di-update, invalidasi sesi/token setelah kompromi dicurigai, audit akses mailbox 90 hari terakhir, dan pantau forwarding rule, login dari lokasi tidak biasa, serta akses ke token MFA atau passcode. ## 4) Dampak terhadap lingkungan organisasi

- Starlette, Kestra, LiteLLM, dan komponen Python/cloud-native berpotensi berada di Linux container atau Kubernetes. - Risiko utama: bypass autentikasi, RCE pada worker, akses ke metadata service, pencurian API key, dan lateral movement ke control plane. - Pastikan container tidak berjalan sebagai root jika tidak diperlukan, egress dibatasi, secret tidak tersedia sebagai environment variable tanpa kebutuhan, dan endpoint debug/admin tidak terbuka.

- Chrome/Chromium aktif dieksploitasi; browser harus dipatch terpusat. - Spring Ring dan BREEZE COMET menunjukkan risiko tinggi dari RMM yang dipasang atas instruksi telepon/chat palsu. - Terapkan application allowlisting, blokir instalasi RMM tidak resmi, dan logkan child process dari browser, Teams, Office, PowerShell, serta `msiexec`.

- LiteLLM/MCP dapat menjadi jalur akses ke tool internal dan secret. - Artifactory adalah komponen supply-chain kritis; komprominya dapat memengaruhi artefak yang dikonsumsi oleh banyak sistem. - Workflow GitHub Actions juga perlu diperiksa. GitHub Security Lab mempublikasikan pada 4 September isu privileged workflow pada Trivy API Diff Check dan TOCTOU pada workflow JupyterLab yang dapat menjalankan kode dari kontribusi eksternal. [GitHub Security Lab advisories](https://securitylab.github.com/advisories)

- Starlette request smuggling dapat melewati kontrol autentikasi yang bergantung pada URL hasil rekonstruksi. - Validasi harus konsisten antara CDN/WAF/reverse proxy dan aplikasi; jangan mengandalkan satu lapisan parsing HTTP. - Sangoma Switchvox, Kestra, dan Artifactory tidak boleh terekspos langsung ke internet tanpa kontrol akses kuat.

Prioritaskan pemeriksaan pada: - VPN/SMA dan appliance remote access. - Artifactory, GitLab/GitHub runner, Jenkins, Kestra, dan internal developer platform. - AI gateway/MCP server yang dapat memanggil tool atau membaca secret. - Sistem VoIP/UC, webmail Zimbra, dan endpoint dengan akses admin. - Payment, e-commerce, API publik, serta akun support yang dapat memasang RMM. ## 5) Rekomendasi tindakan hari ini

1. **Inventaris dan patch semua aset KEV**: terutama SMA1000, Artifactory, Kestra, LiteLLM, Switchvox, dan Starlette yang internet-facing. 2. **Update Chrome/Chromium** pada seluruh endpoint dan verifikasi versi setelah reboot/relaunch. 3. Untuk SMA1000 dan Artifactory, lakukan **pemeriksaan kompromi sebelum atau bersamaan dengan patch**: login admin, token, konfigurasi, koneksi outbound, perubahan file, akun baru, dan artefak baru. 4. Isolasi sementara endpoint atau service yang menjalankan versi rentan tetapi belum dapat dipatch; batasi akses melalui VPN, allowlist IP, atau network ACL. 5. Jika terdapat indikasi eksploitasi: preserve log, snapshot yang sesuai, rotasi token/API key/credential, dan cabut sesi aktif—jangan hanya melakukan patch tanpa containment.

1. Audit log: - Request ke endpoint Switchvox `/pa`. - Path anomali yang diakhiri `configs` pada Kestra. - Request MCP/LiteLLM dengan Bearer token tidak valid. - Login Artifactory/SMA dari lokasi atau user-agent tidak biasa. - SSRF/outbound connection dari appliance ke RFC1918, metadata service, atau port administratif. - RMM baru, PowerShell dari Teams/browser, dan NTLM relay pattern. 2. Terapkan deteksi SIEM/EDR/NDR: - `Teams/Browser → AnyDesk/RMM`. - `PowerShell → Impacket/LDAP/SMB`. - Workstation → Domain Controller menggunakan NTLM tidak lazim. - Artifactory menghasilkan token/admin session baru. - Container worker melakukan koneksi outbound baru atau mengeksekusi shell. 3. Nonaktifkan akses anonim/default pada Artifactory, Kestra, LiteLLM, MCP, dan dashboard management. 4. Terapkan MFA phishing-resistant untuk admin dan remote access; kurangi penggunaan NTLM dan audit relay exposure. 5. Uji backup offline/immutable dan pemulihan satu service penting.

1. Review seluruh dependency lockfile dan SBOM untuk Starlette, Kestra, LiteLLM, serta library terkait. 2. Uji konfigurasi reverse proxy/WAF terhadap request smuggling secara aman menggunakan test case non-destruktif di staging. 3. Segmentasikan CI/CD, artifact repository, AI gateway, management plane, dan production runtime. 4. Perbarui playbook help-desk: tidak boleh meminta pengguna memasang RMM atau memberikan token melalui chat/telepon tanpa verifikasi out-of-band. 5. Tetapkan SLA internal berbasis KEV, eksposur internet, dan kemampuan mengambil alih aset—bukan hanya skor CVSS. ## 6) Hal yang belum pasti atau masih berupa klaim - CISA menyatakan item KEV dieksploitasi, tetapi detail publik mengenai **aktor, kampanye, target spesifik, dan indikator kompromi** tidak tersedia untuk semua CVE. - NVD belum memberikan skor CVSS numerik untuk sebagian besar CVE di atas; vektor yang ditampilkan oleh vendor atau CISA-ADP bukan pengganti penilaian NVD. - Laporan komunitas mengenai jumlah ko