Laporan Riset Security System Global — 13 September 2026, 07.00 WIB

Cakupan: sumber publik yang dapat diverifikasi hingga 13 September 2026 pukul 07.00 WIB (WIB). Fokus utama 11–13 September; item 9 September disertakan hanya sebagai konteks karena masih relevan dan aktif dieksploitasi menurut CISA. Tidak ada perubahan sistem atau publikasi eksternal yang dilakukan.

1) Ringkasan eksekutif

1. CISA menambahkan empat CVE ke KEV pada 11 September 2026, seluruhnya berkaitan dengan platform pengembangan/remote management: dua JFrog Artifactory, ConnectWise ScreenConnect, dan GitLab CE/EE. CISA menyatakan penambahan didasarkan pada bukti eksploitasi aktif. CISA, 11 Sep 2026 ↗; CISA, 11 Sep 2026 ↗

2. Prioritas tertinggi: ScreenConnect (CVE-2026-84869, CVSS 9.9) dan GitLab path traversal (CVE-2026-85706, CVSS 10.0 menurut GitLab/CVE record). Keduanya berisiko tinggi bila instance dapat diakses dari Internet. ConnectWise, 8 Sep 2026 ↗; CVE record ↗

3. JFrog Artifactory self-hosted perlu diperlakukan sebagai aset supply-chain kritis: CVE-2026-42016 memungkinkan eskalasi hak istimewa dari pengguna terautentikasi berprivilege rendah; CVE-2026-42018 berpotensi mengembalikan token internal anonymous kepada pemanggil tanpa autentikasi. NVD CVE-2026-42016 ↗; CVE record CVE-2026-42018 ↗

4. Tidak ditemukan publikasi CISA KEV baru bertanggal 12–13 September dalam penelusuran ini. Namun, batch 11 September tetap merupakan ancaman aktif dan tidak boleh menunggu siklus patch normal.

5. Klaim kampanye baru yang menarget Indonesia belum cukup terkonfirmasi oleh sumber primer pada cakupan ini. Laporan vendor/sekunder tentang ransomware atau Android malware diperlakukan sebagai sinyal untuk monitoring, bukan fakta insiden.

2) Ancaman/kerentanan baru dan aktif dieksploitasi

P0 — patch/isolate segera

CVE-2026-84869 — ConnectWise ScreenConnect

Fakta terverifikasi: CISA memasukkannya ke KEV pada 11 September berdasarkan bukti eksploitasi aktif. ConnectWise menjelaskan isu sebagai missing authorization/improper privilege management, CVSS 3.1 9.9 Critical, vector AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H; semua versi sebelum 26.6.5 terdampak, dan vendor meminta upgrade ke 26.6.5. CISA, 11 Sep 2026 ↗; ConnectWise bulletin, 8 Sep 2026 ↗; NVD ↗

Dampak analitis: instance remote-support yang terekspos dapat menjadi jalur pengambilalihan/gerak-lateral; risiko meningkat bila akun operator memiliki akses luas.

Tindakan: upgrade ke 26.6.5; sebelum/selama perubahan, batasi akses management dengan VPN/allowlist, rotasi kredensial/token operator bila ada indikasi, dan audit login, pembuatan sesi, transfer file, serta eksekusi perintah.

CVE-2026-85706 — GitLab CE/EE path traversal

Fakta terverifikasi: CISA menambahkannya ke KEV pada 11 September karena eksploitasi aktif. CVE record menyebut versi terdampak dari 18.7 sebelum 19.1.8, 19.2 sebelum 19.2.6, dan 19.3 sebelum 19.3.2; GitLab menyatakan isu telah diremediasi pada rilis tersebut. Bug memungkinkan pembacaan file arbitrer tanpa autentikasi dalam kondisi tertentu. CISA, 11 Sep 2026 ↗; CVE record ↗; GitLab release/advisory reference ↗

CVSS: CVE record/GitLab mengindikasikan severity maksimum; verifikasi skor dan kondisi deployment terhadap advisory GitLab sebelum membuat keputusan inventaris.

Tindakan: upgrade ke versi GitLab yang telah diperbaiki; jika belum bisa, keluarkan endpoint dari Internet atau letakkan di reverse proxy dengan allowlist/VPN, lalu cari akses ke API repository commits dan pembacaan file abnormal. Perlakukan secret, runner token, deploy key, dan konfigurasi CI/CD sebagai berpotensi terekspos bila instance belum ditambal dan memiliki bukti probe.

P1 — remediasi dipercepat dan validasi paparan

CVE-2026-42016 — JFrog Artifactory incorrect authorization

Self-hosted Artifactory sebelum 7.133.11 terdampak. Cacat validasi token memeriksa signature/issuer tetapi tidak scope token; pengguna terautentikasi berprivilege rendah dapat melakukan privilege escalation. CVSS CNA JFrog 8.1 High; NVD juga menampilkan 8.8 High. CISA menandainya KEV pada 11 September. NVD ↗; CVE record ↗; JFrog advisories ↗

Tindakan: upgrade ke 7.133.11 atau rilis backport vendor; tinjau token yang dibuat/digunakan, perubahan role/repository permission, dan akses admin sejak log tertua yang tersedia. Cloud-hosted tidak boleh diasumsikan terdampak tanpa konfirmasi JFrog.

CVE-2026-42018 — JFrog Artifactory improper authentication

Deskripsi CVE menyatakan Artifactory dapat mengembalikan internal anonymous-user token kepada pemanggil tanpa autentikasi ketika anonymous access dinonaktifkan, sehingga resource sensitif dapat terekspos. CISA menambahkannya ke KEV pada 11 September. CVE record ↗; JFrog advisories ↗

Versi patch: hasil publik yang terverifikasi tidak konsisten untuk seluruh lini rilis; jangan menggeneralisasi satu versi. Ambil fixed version langsung dari advisory JFrog sesuai lini deployment sebelum upgrade.

Tindakan: pastikan instance tidak terekspos langsung, verifikasi anonymous access dan endpoint token, tinjau access log untuk request tidak terautentikasi yang menghasilkan token, dan rotasi token/credential yang mungkin terakses.

3) Perkembangan relevan sebelumnya yang masih aktif

CISA pada 9 September juga menambahkan CVE-2025-25249 Fortinet, CVE-2026-19490 Citrix NetScaler, CVE-2026-87491 Chromium V8, dan CVE-2026-20079 Cisco Firewall Management Center ke KEV berdasarkan eksploitasi aktif. Ini bukan item baru 24–48 jam, tetapi tetap wajib dimasukkan ke backlog P0/P1 bila produk ada di perimeter. CISA, 9 Sep 2026 ↗

4) Kampanye malware/ransomware/phishing/supply-chain

Fakta terkonfirmasi: batch KEV 11 September menunjukkan eksploitasi aktif pada platform remote-management, source-code/CI, dan artifact repository; ini relevan sebagai jalur awal akses dan supply-chain. CISA tidak mengatribusikan batch tersebut kepada aktor atau ransomware tertentu. CISA, 11 Sep 2026 ↗

Belum terkonfirmasi: tidak ada atribusi aktor, IOC, atau kampanye spesifik yang dapat divalidasi dari sumber primer yang ditemukan dalam cakupan 12–13 September. Jangan memasukkan nama ransomware/aktor atau IOC dari artikel sekunder ke blocklist tanpa validasi.

TTP MITRE ATT&CK (analisis defensif): eksploitasi aplikasi publik T1190, pencurian/penyalahgunaan token dan kredensial T1528/T1552 bila bukti log mendukung, serta kemungkinan valid accounts/remote services T1078/T1021 pada ScreenConnect. Pemetaan ini adalah inferensi dari kelas kerentanan, bukan bukti bahwa semua teknik terjadi pada lingkungan tertentu.

5) Dampak dan tindakan hari ini

P0 — 0–4 jam

1. Inventaris dan cari semua ScreenConnect <26.6.5, GitLab pada rentang terdampak, serta Artifactory self-hosted. Jika tidak dapat dipastikan versinya, perlakukan sebagai terdampak.

2. Isolasi instance Internet-facing melalui VPN/allowlist/WAF sementara; jangan mengandalkan WAF sebagai pengganti patch.

3. Patch ScreenConnect dan GitLab ke versi vendor yang diperbaiki; patch Artifactory sesuai fixed release JFrog.

4. Simpan log sebelum rotasi: reverse proxy/WAF, auth, API, audit, EDR, cloud IAM, dan backup. Cari login dari ASN/geografi tidak biasa, request path traversal, token issuance anonim, perubahan role, sesi remote-support, transfer file, serta eksekusi proses.

5. Bila ada indikator kompromi: cabut sesi/token, rotasi secret CI/CD/deploy key/API key, nonaktifkan akun yang mencurigakan, dan lakukan triage forensik sebelum menghapus artefak.

P1 — hari yang sama

1. Audit permission least-privilege pada GitLab, JFrog, ScreenConnect, runner/agent, service account, dan repository production.

2. Pastikan backup offline/immutable dapat dipulihkan; uji restore satu workload dan dokumentasikan hasilnya.

3. Tambahkan deteksi: akses endpoint sensitif tanpa autentikasi, 4xx/5xx abnormal, path traversal encoding, pembuatan token di luar pola, perubahan admin/role, dan child-process tidak lazim dari service.

4. Pastikan EDR/NDR/SIEM menyimpan timestamp, source IP, user-agent, request ID, dan korelasi ke proses host.

P2 — 7 hari

1. Terapkan SLA patch berbasis KEV, SBOM/software inventory, MFA tahan-phishing untuk operator, dan pembatasan egress server.

2. Review seluruh perimeter untuk Fortinet/Citrix/Cisco/Chromium KEV 9 September dan validasi exposure dari Internet.

3. Jalankan tabletop incident response untuk kebocoran token/source code dan pemulihan remote-management.

Dampak per platform: Linux/Windows server dan container host berisiko bila menjalankan GitLab/JFrog/ScreenConnect; cloud terkena secara tidak langsung melalui token, image/artifact, runner, dan secret; website/API perimeter berisiko terutama pada endpoint yang dapat diakses tanpa autentikasi; endpoint/Windows terdampak bila tool remote-support dipakai untuk administrasi; organisasi Indonesia perlu memprioritaskan layanan yang dikelola vendor/outsourcing serta secret CI/CD yang mengakses produksi.

6) Hal yang belum pasti

1. CISA mengonfirmasi eksploitasi aktif, tetapi halaman yang ditinjau tidak mempublikasikan exploit chain, aktor, target, atau IOC untuk empat CVE 11 September.

2. Fixed version CVE-2026-42018 berbeda/bervariasi menurut lini Artifactory pada sumber agregator; gunakan advisory JFrog, bukan angka dari agregator.

3. CVSS dan kondisi eksploitasi GitLab perlu dicocokkan dengan advisory/rilis GitLab yang dipakai organisasi; “dapat membaca file” bersyarat tidak berarti semua deployment pasti dapat dieksploitasi.

4. Tidak ada bukti dari penelusuran ini bahwa aset organisasi tertentu di Indonesia telah dikompromikan.

7) Sumber

CISA, 11 Sep 2026, tiga KEV: https://www.cisa.gov/news-events/alerts/2026/09/11/cisa-adds-three-known-exploited-vulnerabilities-catalog ↗

CISA, 11 Sep 2026, GitLab KEV: https://www.cisa.gov/news-events/alerts/2026/09/11/cisa-adds-one-known-exploited-vulnerability-catalog ↗

ConnectWise, 8 Sep 2026, ScreenConnect security bulletin: https://www.connectwise.com/company/trust/security-bulletins/2026-09-08-screenconnect-bulletin ↗

NVD, CVE-2026-84869: https://nvd.nist.gov/vuln/detail/CVE-2026-84869 ↗

CVE.org, CVE-2026-85706: https://www.cve.org/CVERecord?id=CVE-2026-85706 ↗

NVD/CVE.org, CVE-2026-42016: https://nvd.nist.gov/vuln/detail/CVE-2026-42016 ↗ ; https://www.cve.org/CVERecord?id=CVE-2026-42016 ↗

CVE.org, CVE-2026-42018: https://www.cve.org/CVERecord?id=CVE-2026-42018 ↗

JFrog, Security Advisories: https://docs.jfrog.com/releases/docs/jfrog-security-advisories ↗

CISA, 9 Sep 2026, empat KEV tambahan: https://www.cisa.gov/news-events/alerts/2026/09/09/cisa-adds-four-known-exploited-vulnerabilities-catalog ↗

Catatan klasifikasi: “Fakta terverifikasi” merujuk pada CISA/vendor/CVE/NVD; bagian “dampak analitis” dan pemetaan ATT&CK adalah penilaian defensif; bagian “belum pasti” tidak boleh diperlakukan sebagai fakta insiden.