LAPORAN HARIAN · 2026-09-10

Laporan Riset Security System Global — 2026-09-10

sumber publik hingga 10 September 2026, dengan fokus perkembangan baru 8–10 September. Item KEV dan kampanye yang sudah dilaporkan sebelumnya hanya diulang bila terdapat perkembangan penting.

Publikasi: 2026-09-11·11 temuan terstruktur

← Kembali ke arsip

Temuan utama

impact

A. Microsoft Patch Tuesday September 2026

Microsoft menyatakan rilis September mencakup **974 CVE**, dengan cakupan utama Windows, Office, Exchange, SQL Server, SharePoint, Azure, dan developer tools. Dua CVE ditandai **“Exploitation Detected”** oleh Microsoft: [Microsoft MSRC](https://msrc.microsoft.com/update-guide/releaseNote/2026-Sep) | CVE | Produk | Dampak | Severity/status | Prioritas | |---|---|---|---|---| | [CVE-2026-85880](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-85880) | Windows Advanced Local Procedure Call (ALPC) | Elevation of privilege; dimanfaatkan BlueMoon untuk keluar dari renderer browser | CVSS 7.8; **eksploitasi terdeteksi** | **P0** | | [CVE-2026-81963](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-81963) | Windows Update Stack | Elevation of privilege melalui link following/improper access control | CVSS 7.8; **eksploitasi terdeteksi** | **P0** | | [CVE-2026-69676](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-69676) | Windows Kerberos | Remote cod

vulnerability

B. CVE-2026-85046 — Chrome/Chromium V8

- Kerentanan type confusion pada engine V8. - CISA sebelumnya memasukkannya ke **Known Exploited Vulnerabilities** berdasarkan bukti eksploitasi aktif. - Digunakan dalam rantai BlueMoon bersama sandbox escape V8 dan CVE-2026-85880. - Risiko terutama mengenai Chrome, Edge, dan browser berbasis Chromium yang belum menerima perbaikan terkait. - Sumber: [NVD CVE-2026-85046](https://nvd.nist.gov/vuln/detail/CVE-2026-85046), [Proofpoint, 9 Sep 2026](https://www.proofpoint.com/us/blog/threat-insight/once-bluemoon-multiple-state-aligned-threat-actors-rapidly-adopt-novel-exploit) --- ## 3) Kampanye dan aktivitas ancaman terkonfirmasi

impact

A. BlueMoon — exploit kit Chrome dan Windows

**Fakta terverifikasi menurut Proofpoint:** - Dipakai oleh sedikitnya empat kelompok spionase sejak 28 Agustus 2026. - Kelompok awal yang diamati adalah TA412, yang dikaitkan dengan APT31/Violet Typhoon/JungleBamboo. - Rantai serangan menargetkan: 1. Chrome/Chromium V8 melalui CVE-2026-85046; 2. sandbox V8; 3. Windows kernel melalui CVE-2026-85880. - Setelah eksploitasi berhasil, kit dapat memuat DLL secara reflektif, melakukan fingerprinting host, menaikkan hak akses, dan menjalankan perintah. - Proofpoint mengamati penggunaan spear-phishing dengan tautan menuju landing page berbahaya. - Salah satu cluster, **UNK_QuietRacket**, menargetkan organisasi pemerintah, konsultansi, dan finansial di **Indonesia dan Singapura**. - Payload lanjutan yang diamati mencakup DLL sideloading, ShadowPad, backdoor browser, dan assembly .NET in-memory. [Proofpoint](https://www.proofpoint.com/us/blog/threat-insight/once-bluemoon-multiple-state-aligned-threat-actors-rapidly-adopt-novel-exploit) **MITRE AT

impact

B. Eksploitasi Cisco Secure Firewall Management Center

Cisco Talos melaporkan eksploitasi aktif terhadap: - [CVE-2026-20079](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-onprem-fmc-authbypass-5JPp45V2) — authentication bypass, CVSS 10.0, memungkinkan akses tidak terautentikasi dan eksekusi script/root. - [CVE-2026-20316](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fmc-static-cred-BET3Cjh) — akses menggunakan kredensial statis/akun berprivilege rendah, CVSS 5.3. Talos mengidentifikasi tiga pola aktivitas: 1. **UAT-12197:** web shell JSP dan command executor berbasis JAR, diikuti pencurian kredensial. 2. **UAT-11823:** reverse shell, proxy, pengambilan konfigurasi, serta varian Cyclops Blink yang dikaitkan dengan Sandworm. 3. **UAT-11988:** aktivitas operator ransomware Qilin, termasuk reconnaissance, pencurian kredensial, tunneling, dan persiapan enkripsi endpoint. **MITRE ATT&CK relevan:** - **T1190 — Exploit Public-Facing Application** - **T1505.003 — Ser

impact

Server Windows

- Risiko langsung dari CVE-2026-85880 dan CVE-2026-81963. - Host Windows lama—terutama Windows 10 lama dan build Windows Server yang masih digunakan—lebih berisiko terhadap rantai BlueMoon. - Server DNS, RRAS, Kerberos, dan Deployment Services harus dimasukkan ke daftar patch prioritas.

impact

Endpoint dan browser

- Chrome, Edge, dan browser Chromium harus diperbarui secara paksa atau dikelola melalui enterprise policy. - Perangkat pengguna yang menerima email spear-phishing berbahaya dapat dikompromikan tanpa perlu instalasi aplikasi manual jika eksploit browser berhasil.

impact

Website/API dan jaringan

- Cisco FMC yang terekspos internet menjadi target bernilai tinggi karena berfungsi sebagai titik kendali keamanan jaringan. - Kompromi FMC dapat memberikan visibilitas dan jalur lateral ke jaringan internal. - Cloudflare Workers, R2, dan domain hosting sementara dapat digunakan sebagai infrastruktur delivery/C2; pemblokiran hanya berdasarkan domain Cloudflare secara keseluruhan tidak disarankan karena berisiko mengganggu layanan sah.

impact

Organisasi Indonesia

- Sektor pemerintah, finansial, konsultansi, manufaktur, dan organisasi dengan hubungan internasional perlu menganggap spear-phishing bertarget sebagai risiko prioritas. - Tidak ada bukti publik bahwa organisasi Indonesia tertentu telah berhasil dikompromikan, tetapi Indonesia disebut secara eksplisit dalam laporan Proofpoint sebagai target cluster UNK_QuietRacket. --- ## 5) Rekomendasi tindakan hari ini

P0 — lakukan segera

1. **Patch seluruh endpoint dan server Windows** dengan pembaruan September 2026, khususnya: - CVE-2026-85880 - CVE-2026-81963 2. **Perbarui Chrome, Edge, dan seluruh browser Chromium** ke versi vendor terbaru. 3. **Patch Cisco Secure FMC** untuk CVE-2026-20079 dan CVE-2026-20316. 4. Inventarisasi aset internet-facing: - Cisco FMC - Windows DNS/RRAS/Kerberos/WDS - browser pada endpoint privileged - server Windows lama atau unsupported 5. Jika patch belum dapat dilakukan, batasi sementara akses FMC dan layanan administrasi dari internet menggunakan allowlist/VPN/jump host.

P1 — lakukan dalam 24 jam

1. Cari telemetry berikut di EDR/SIEM: - Chrome/Edge sebagai parent yang membuat proses `curl`, PowerShell, `rundll32`, `regsvr32`, atau executable dari `%TEMP%`/Downloads. - DLL sideloading dari direktori pengguna. - Scheduled task baru setelah aktivitas browser. - Koneksi ke domain baru, `workers.dev`, domain registrasi baru, atau infrastruktur yang tercantum dalam laporan Proofpoint. 2. Pada Windows, tinjau: - proses anak browser; - event process creation; - perubahan scheduled task; - log Defender/EDR; - crash atau exploit protection event pada browser. 3. Pada Cisco FMC, cari: - file JSP/JAR baru; - perubahan pada `license.tmp`; - koneksi outbound tidak lazim; - reverse shell atau SOCKS; - akses ke LDAP, SMB, WinRM, Kerberos, dan database dari FMC. 4. Rotasi kredensial administrator FMC dan kredensial yang mungkin tersimpan pada perangkat jika terdapat indikasi kompromi. 5. Validasi backup offline/immutable dan uji pemulihan minimal satu sistem penting.

P2 — lakukan dalam 48–72 jam

1. Hapus atau isolasi Windows build yang sudah unsupported. 2. Terapkan application control untuk mencegah browser menjalankan binary dari direktori sementara. 3. Terapkan MFA tahan phishing untuk akun admin dan akses VPN. 4. Blokir eksekusi macro/script dari sumber internet yang tidak diperlukan. 5. Pastikan patch compliance menghasilkan bukti: - hostname; - versi OS/browser; - KB atau build patch; - waktu instalasi; - status reboot. 6. Buat hunting rule untuk proses browser → `curl`/PowerShell dan browser → DLL dari user-writable path. --- ## 6) Hal yang belum pasti - Proofpoint menyatakan mayoritas cluster BlueMoon memiliki dugaan nexus China, tetapi beberapa aktivitas masih **belum teratribusi**. - Belum diketahui bagaimana beberapa kelompok memperoleh akses ke exploit kit yang sama—kemungkinan berbagi vendor, kontraktor, atau distribusi antaraktor masih berupa analisis. - Dugaan penggunaan AI dalam pengembangan BlueMoon didukung artefak debugging dan dokumentasi, tetapi Proofpoint

-------------

Laporan Riset Security System Global — 10 September 2026, 07.00 WIB

Cakupan: sumber publik hingga 10 September 2026, dengan fokus perkembangan baru 8–10 September. Item KEV dan kampanye yang sudah dilaporkan sebelumnya hanya diulang bila terdapat perkembangan penting.

1) Ringkasan eksekutif

1. Risiko tertinggi hari ini adalah patch besar Microsoft September 2026. Microsoft merilis pembaruan pada 9 September yang mencakup 974 CVE, termasuk dua kerentanan Windows yang telah terdeteksi dieksploitasi: CVE-2026-81963 dan CVE-2026-85880. Microsoft MSRC, 9 Sep 2026 ↗

2. Kampanye eksploit baru BlueMoon menggabungkan kerentanan Chrome/Chromium CVE-2026-85046, sandbox escape V8, dan CVE-2026-85880 pada Windows lama. Proofpoint mengidentifikasi sedikitnya empat kelompok spionase yang menggunakannya dalam spear-phishing. Aktivitas juga mencakup target di Indonesia dan Singapura. Proofpoint, 9 Sep 2026 ↗

3. Cisco Secure Firewall Management Center (FMC) sedang dieksploitasi di dunia nyata. Cisco Talos mengaitkan serangan dengan web shell, pencurian kredensial, Cyclops Blink, tunneling, dan persiapan penyebaran ransomware Qilin. Cisco Talos, 9 Sep 2026 ↗

4. Eksploitasi browser kini perlu diperlakukan sebagai jalur awal kompromi endpoint, bukan hanya risiko browsing. Patch Chrome/Edge, patch Windows, EDR, dan pemantauan proses curl/PowerShell dari browser harus dikombinasikan.

5. Tidak ada bukti publik bahwa organisasi Indonesia tertentu telah berhasil dikompromikan. Namun, laporan Proofpoint menyebut kampanye BlueMoon menargetkan organisasi pemerintah, konsultansi, dan sektor finansial di Indonesia.

---

2) Kerentanan baru dan aktif dieksploitasi

A. Microsoft Patch Tuesday September 2026

Microsoft menyatakan rilis September mencakup 974 CVE, dengan cakupan utama Windows, Office, Exchange, SQL Server, SharePoint, Azure, dan developer tools. Dua CVE ditandai “Exploitation Detected” oleh Microsoft: Microsoft MSRC ↗

|---|---|---|---|---|

Catatan: Cisco Talos merangkum rilis yang sama sebagai 973 kerentanan, sedangkan halaman resmi Microsoft MSRC mencantumkan 974 CVE. Untuk jumlah resmi, laporan ini menggunakan angka Microsoft.

B. CVE-2026-85046 — Chrome/Chromium V8

Kerentanan type confusion pada engine V8.

CISA sebelumnya memasukkannya ke Known Exploited Vulnerabilities berdasarkan bukti eksploitasi aktif.

Digunakan dalam rantai BlueMoon bersama sandbox escape V8 dan CVE-2026-85880.

Risiko terutama mengenai Chrome, Edge, dan browser berbasis Chromium yang belum menerima perbaikan terkait.

Sumber: NVD CVE-2026-85046 ↗, Proofpoint, 9 Sep 2026 ↗

---

3) Kampanye dan aktivitas ancaman terkonfirmasi

A. BlueMoon — exploit kit Chrome dan Windows

Fakta terverifikasi menurut Proofpoint:

Dipakai oleh sedikitnya empat kelompok spionase sejak 28 Agustus 2026.

Kelompok awal yang diamati adalah TA412, yang dikaitkan dengan APT31/Violet Typhoon/JungleBamboo.

Rantai serangan menargetkan:

1. Chrome/Chromium V8 melalui CVE-2026-85046;

2. sandbox V8;

3. Windows kernel melalui CVE-2026-85880.

Setelah eksploitasi berhasil, kit dapat memuat DLL secara reflektif, melakukan fingerprinting host, menaikkan hak akses, dan menjalankan perintah.

Proofpoint mengamati penggunaan spear-phishing dengan tautan menuju landing page berbahaya.

Salah satu cluster, UNK_QuietRacket, menargetkan organisasi pemerintah, konsultansi, dan finansial di Indonesia dan Singapura.

Payload lanjutan yang diamati mencakup DLL sideloading, ShadowPad, backdoor browser, dan assembly .NET in-memory. Proofpoint ↗

MITRE ATT&CK yang relevan:

T1566.002 — Phishing: Spearphishing Link

T1203 — Exploitation for Client Execution

T1068 — Exploitation for Privilege Escalation

T1055 — Process Injection

T1218/T1105 — Signed Binary Proxy/Ingress Tool Transfer, bergantung pada payload akhir

T1059.001 — PowerShell atau command shell bila digunakan pada tahap lanjutan

T1547/T1053 — Persistence, termasuk scheduled task pada beberapa varian yang dilaporkan

Deteksi defensif:

Browser membuka curl, rundll32, mshta, PowerShell, atau proses anak tidak lazim.

Chrome/Edge membuat koneksi langsung ke domain baru atau domain workers.dev setelah pengguna membuka tautan email.

Browser memuat DLL dari direktori sementara atau profil pengguna.

Scheduled task baru segera setelah proses browser mencurigakan.

Aktivitas browser menuju domain yang baru dibuat pada hari yang sama dengan kampanye.

Proofpoint menerbitkan indikator dan aturan deteksi pada laporan sumber. IOC sebaiknya diambil langsung dari sumber tersebut dan divalidasi terhadap telemetry internal sebelum dimasukkan ke blocking list.

B. Eksploitasi Cisco Secure Firewall Management Center

Cisco Talos melaporkan eksploitasi aktif terhadap:

CVE-2026-20079 ↗ — authentication bypass, CVSS 10.0, memungkinkan akses tidak terautentikasi dan eksekusi script/root.

CVE-2026-20316 ↗ — akses menggunakan kredensial statis/akun berprivilege rendah, CVSS 5.3.

Talos mengidentifikasi tiga pola aktivitas:

1. UAT-12197: web shell JSP dan command executor berbasis JAR, diikuti pencurian kredensial.

2. UAT-11823: reverse shell, proxy, pengambilan konfigurasi, serta varian Cyclops Blink yang dikaitkan dengan Sandworm.

3. UAT-11988: aktivitas operator ransomware Qilin, termasuk reconnaissance, pencurian kredensial, tunneling, dan persiapan enkripsi endpoint.

MITRE ATT&CK relevan:

T1190 — Exploit Public-Facing Application

T1505.003 — Server Software Component: Web Shell

T1078 — Valid Accounts

T1059.004 — Unix Shell

T1090 — Proxy

T1046 — Network Service Scanning

T1552 — Unsecured Credentials

T1486 — Data Encrypted for Impact

Tindakan: segera pasang hotfix Cisco yang tersedia; jangan menunggu hardening release berikutnya. Periksa FMC untuk web shell, file JAR tidak dikenal, perubahan license.tmp, proses Java/bash abnormal, koneksi reverse shell, dan koneksi keluar ke IOC Talos. Cisco Talos ↗

---

4) Dampak terhadap lingkungan Indonesia

Server Windows

Risiko langsung dari CVE-2026-85880 dan CVE-2026-81963.

Host Windows lama—terutama Windows 10 lama dan build Windows Server yang masih digunakan—lebih berisiko terhadap rantai BlueMoon.

Server DNS, RRAS, Kerberos, dan Deployment Services harus dimasukkan ke daftar patch prioritas.

Endpoint dan browser

Chrome, Edge, dan browser Chromium harus diperbarui secara paksa atau dikelola melalui enterprise policy.

Perangkat pengguna yang menerima email spear-phishing berbahaya dapat dikompromikan tanpa perlu instalasi aplikasi manual jika eksploit browser berhasil.

Website/API dan jaringan

Cisco FMC yang terekspos internet menjadi target bernilai tinggi karena berfungsi sebagai titik kendali keamanan jaringan.

Kompromi FMC dapat memberikan visibilitas dan jalur lateral ke jaringan internal.

Cloudflare Workers, R2, dan domain hosting sementara dapat digunakan sebagai infrastruktur delivery/C2; pemblokiran hanya berdasarkan domain Cloudflare secara keseluruhan tidak disarankan karena berisiko mengganggu layanan sah.

Organisasi Indonesia

Sektor pemerintah, finansial, konsultansi, manufaktur, dan organisasi dengan hubungan internasional perlu menganggap spear-phishing bertarget sebagai risiko prioritas.

Tidak ada bukti publik bahwa organisasi Indonesia tertentu telah berhasil dikompromikan, tetapi Indonesia disebut secara eksplisit dalam laporan Proofpoint sebagai target cluster UNK_QuietRacket.

---

5) Rekomendasi tindakan hari ini

P0 — lakukan segera

1. Patch seluruh endpoint dan server Windows dengan pembaruan September 2026, khususnya:

CVE-2026-85880

CVE-2026-81963

2. Perbarui Chrome, Edge, dan seluruh browser Chromium ke versi vendor terbaru.

3. Patch Cisco Secure FMC untuk CVE-2026-20079 dan CVE-2026-20316.

4. Inventarisasi aset internet-facing:

Cisco FMC

Windows DNS/RRAS/Kerberos/WDS

browser pada endpoint privileged

server Windows lama atau unsupported

5. Jika patch belum dapat dilakukan, batasi sementara akses FMC dan layanan administrasi dari internet menggunakan allowlist/VPN/jump host.

P1 — lakukan dalam 24 jam

1. Cari telemetry berikut di EDR/SIEM:

Chrome/Edge sebagai parent yang membuat proses curl, PowerShell, rundll32, regsvr32, atau executable dari %TEMP%/Downloads.

DLL sideloading dari direktori pengguna.

Scheduled task baru setelah aktivitas browser.

Koneksi ke domain baru, workers.dev, domain registrasi baru, atau infrastruktur yang tercantum dalam laporan Proofpoint.

2. Pada Windows, tinjau:

proses anak browser;

event process creation;

perubahan scheduled task;

log Defender/EDR;

crash atau exploit protection event pada browser.

3. Pada Cisco FMC, cari:

file JSP/JAR baru;

perubahan pada license.tmp;

koneksi outbound tidak lazim;

reverse shell atau SOCKS;

akses ke LDAP, SMB, WinRM, Kerberos, dan database dari FMC.

4. Rotasi kredensial administrator FMC dan kredensial yang mungkin tersimpan pada perangkat jika terdapat indikasi kompromi.

5. Validasi backup offline/immutable dan uji pemulihan minimal satu sistem penting.

P2 — lakukan dalam 48–72 jam

1. Hapus atau isolasi Windows build yang sudah unsupported.

2. Terapkan application control untuk mencegah browser menjalankan binary dari direktori sementara.

3. Terapkan MFA tahan phishing untuk akun admin dan akses VPN.

4. Blokir eksekusi macro/script dari sumber internet yang tidak diperlukan.

5. Pastikan patch compliance menghasilkan bukti:

hostname;

versi OS/browser;

KB atau build patch;

waktu instalasi;

status reboot.

6. Buat hunting rule untuk proses browser → curl/PowerShell dan browser → DLL dari user-writable path.

---

6) Hal yang belum pasti

Proofpoint menyatakan mayoritas cluster BlueMoon memiliki dugaan nexus China, tetapi beberapa aktivitas masih belum teratribusi.

Belum diketahui bagaimana beberapa kelompok memperoleh akses ke exploit kit yang sama—kemungkinan berbagi vendor, kontraktor, atau distribusi antaraktor masih berupa analisis.

Dugaan penggunaan AI dalam pengembangan BlueMoon didukung artefak debugging dan dokumentasi, tetapi Proofpoint menegaskan tidak ada satu artefak yang membuktikan hal tersebut secara konklusif.

Penyebutan Indonesia sebagai target menunjukkan aktivitas targeting, bukan bukti kompromi organisasi Indonesia tertentu.

IOC dapat cepat berubah; domain dan alamat IP dari laporan intelijen tidak boleh dianggap indikator permanen tanpa korelasi dengan log internal.

---