Laporan Riset Security System Global — 2026-09-15

Waktu pemantauan: 15 September 2026, 07.00 WIB
Cakupan: perkembangan publik tepercaya pada 14–15 September 2026, dengan konteks eksploitasi aktif yang masih relevan.

1. Ringkasan eksekutif

1. P0 — CVE-2026-76461: CISA menambahkan kerentanan SQL injection pada Cisco Secure Email Gateway ke KEV pada 14 September. Cisco memberi skor CVSS 9.8 Critical, menyatakan eksploitasi aktif, dan menyediakan perbaikan AsyncOS 16.5.0-780.
2. P0 — CVE-2026-85706: GitLab CE/EE path traversal masih harus diperlakukan sebagai risiko eksploitasi aktif. CISA telah memasukkannya ke KEV dan pengamatan publik menunjukkan probing internet terhadap instalasi yang belum ditambal.
3. P0/P1 — Cisco Secure Firewall Management Center: Cisco Talos melaporkan eksploitasi aktif terhadap CVE-2026-20079 dan CVE-2026-20316, dengan aktivitas pasca-kompromi berupa web shell, pencurian kredensial, Cyclops Blink, tunneling, dan aktivitas yang konsisten dengan afiliasi Qilin ransomware.
4. Prioritas organisasi Indonesia: perangkat email/perimeter, management plane firewall, serta GitLab self-managed yang dapat membocorkan secret CI/CD, deploy key, runner token, dan kredensial cloud.
5. Belum terdapat bukti publik tepercaya yang mengaitkan CVE tersebut dengan korban spesifik di Indonesia. Relevansinya adalah potensi paparan, bukan konfirmasi insiden lokal.

2. Kerentanan kritis dan eksploitasi aktif

P0 — CVE-2026-76461: Cisco Secure Email Gateway

• Produk: Cisco AsyncOS untuk Cisco Secure Email Gateway.
• Dampak: penyerang remote tanpa autentikasi dapat memanfaatkan SQL injection dan berpotensi menjalankan perintah dengan hak root.
• Severity: CVSS 3.1 9.8 Critical.
• Status: eksploitasi aktif dikonfirmasi Cisco PSIRT; ditambahkan ke CISA KEV pada 14 September 2026.
• Perbaikan: upgrade ke AsyncOS Release 16.5.0-780. Cisco menyatakan tidak tersedia workaround.
• Tindakan segera:
• Inventarisasi seluruh appliance SEG yang dapat diakses dari internet.
• Upgrade sesuai advisory Cisco.
• Tinjau log email/parser, management access, akun lokal, perubahan konfigurasi, proses abnormal, dan koneksi keluar.
• Rotasi kredensial yang pernah tersimpan atau digunakan pada appliance yang terekspos.
• Jika patch tertunda, isolasi perangkat dari akses publik dan batasi egress.

P0 — CVE-2026-85706: GitLab CE/EE path traversal

• Produk/versi terdampak: GitLab CE/EE:
• 18.7 sebelum 19.1.8
• 19.2 sebelum 19.2.6
• 19.3 sebelum 19.3.2
• Dampak: pembacaan file arbitrer pada kondisi tertentu akibat path confinement yang tidak benar dan enforcement autentikasi yang hilang. Risiko meliputi kebocoran konfigurasi, secret, token, dan kredensial.
• Severity: dilaporkan CVSS 10.0.
• Status: CISA KEV; probing internet telah diamati setelah patch dirilis.
• Tindakan segera:
• Upgrade seluruh GitLab self-managed.
• Cabut akses publik sementara jika belum dapat melakukan patch.
• Audit request ke endpoint:

/api/v4/projects/{id}/repository/commits/

terutama parameter file.path.

• Rotasi deploy key, CI/CD token, runner token, cloud key, registry credential, dan secret pipeline yang mungkin terekspos.
• Lakukan forensik sebelum menyatakan sistem bersih.

P1 — Cisco FMC: CVE-2026-20079 dan CVE-2026-20316

• CVE-2026-20079: authentication bypass, CVSS 10.0, dapat memungkinkan akses remote tanpa autentikasi dan eskalasi ke root.
• CVE-2026-20316: akses login melalui akun low-privileged/static credential, CVSS 5.3, tetapi dapat dirangkai dengan kelemahan lain.
• Aktivitas yang dilaporkan Talos:
• UAT-12197: pemasangan JSP web shell dan JAR command executor.
• UAT-11823: reverse shell, proxy, pencurian konfigurasi, dan varian Cyclops Blink.
• UAT-11988: discovery jaringan, credential theft, tunneling, dan aktivitas konsisten dengan operator Qilin ransomware.
• Tindakan:
• Terapkan hotfix Cisco yang sudah tersedia.
• Jangan menunggu hardening release berikutnya.
• Isolasi management interface dari internet.
• Reset static/default credential.
• Audit akun, license.tmp, package_info.pl, koneksi keluar, dan tunneling.
• Evaluasi seluruh host yang dapat dijangkau melalui AD, LDAP/LDAPS, Kerberos, SMB, dan WinRM.

3. Kampanye dan TTP

Cisco FMC

TTP yang dilaporkan Talos mencakup:

• T1190 — Exploit Public-Facing Application
• T1078 — Valid Accounts
• T1059 — Command and Scripting Interpreter
• T1046 — Network Service Scanning
• T1090 — Proxy
• Credential discovery dan exfiltrasi melalui HTTP.

Atribusi UAT-11823 dengan overlap Sandworm dan UAT-11988 dengan aktivitas Qilin merupakan penilaian Talos. Eksploitasi dan artefak teknisnya dilaporkan sebagai observasi.

IOC yang dapat digunakan sebagai pivot defensif dari advisori Talos:

• 89.34.96[.]56
• 208.123.119[.]215
• 91.214.78[.]118
• 104.218.165[.]253
• 43.204.2[.]142

Validasi terhadap telemetry internal sebelum melakukan pemblokiran permanen.

GitLab

Probing terhadap GitLab yang belum ditambal menunjukkan jeda antara disclosure dan scanning internet sangat singkat. Sumber yang ditinjau belum membuktikan bahwa setiap target yang dipindai telah berhasil dikompromikan atau mengatribusikan aktivitas tersebut kepada kelompok tertentu.

4. Dampak per lingkungan

• Linux/appliance: SEG dan FMC dapat memberikan kendali root. Periksa persistence di /etc/init.d/, proses shell/netcat, file sementara, serta perubahan konfigurasi.
• Windows/identity: FMC yang dikompromikan dapat menjadi batu loncatan menuju AD, ADFS, Exchange, file server, database, SMB, dan WinRM.
• Cloud/DevSecOps: kebocoran file GitLab dapat membuka cloud key, deploy key, runner token, registry credential, dan secret pipeline.
• Website/API/jaringan: endpoint GitLab, FMC, dan SEG yang terpublikasi harus diperlakukan sebagai P0. Terapkan allowlist management plane, ACL, rate-limit, dan egress filtering sebagai mitigasi sementara.
• Organisasi Indonesia: validasi inventaris melalui ISP, hosting provider, MSP, dan cabang perusahaan. Minta bukti versi/build aktual, bukan hanya status “update selesai”.

5. Tindakan prioritas

P0 — Hari ini

1. Upgrade Cisco SEG ke AsyncOS 16.5.0-780.
2. Terapkan hotfix Cisco FMC untuk CVE-2026-20079 dan CVE-2026-20316.
3. Upgrade seluruh GitLab self-managed ke versi fixed.
4. Lakukan triage forensik pada aset yang internet-facing.
5. Rotasi token, credential, secret, dan key yang berpotensi terbaca.

P1 — 24 jam

1. Hunt log SEG, FMC, dan GitLab.
2. Audit static credential, service account, SSH key, CI/CD token, cloud key, serta akses admin.
3. Periksa koneksi keluar, reverse shell, SOCKS proxy, reverse SSH, dan perubahan file mencurigakan.
4. Pastikan backup offline/immutable dan uji pemulihan ransomware.

P2 — 7 hari

1. Segmentasikan management plane dan terapkan egress deny-by-default.
2. Integrasikan CISA KEV ke vulnerability-management feed.
3. Review seluruh exposure publik GitLab, runner, registry, secret store, dan appliance.
4. Jalankan tabletop exercise untuk skenario kompromi management plane dan ransomware.

6. Ketidakpastian

• Cisco dan CISA mengonfirmasi eksploitasi aktif CVE-2026-76461, tetapi detail korban dan skala kampanye belum dipublikasikan.
• Untuk GitLab, CISA mengonfirmasi status KEV dan watchTowr mengamati probing; hal tersebut belum membuktikan bahwa setiap organisasi yang dipindai telah dikompromikan.
• Tidak ada atribusi atau korban Indonesia yang terkonfirmasi dari sumber yang digunakan.
• Versi dan status terdampak harus divalidasi terhadap build vendor yang benar-benar digunakan di lingkungan lokal.

7. Sumber

• CISA — CVE-2026-76461 ditambahkan ke KEV, 14 Sep 2026 ↗
• Cisco PSIRT — Secure Email Gateway SQL Injection, 14 Sep 2026 ↗
• CISA — CVE-2026-85706 ditambahkan ke KEV, 11 Sep 2026 ↗
• GitLab — Patch release CVE-2026-85706 ↗
• Cisco Talos — Active exploitation of Secure FMC, 9 Sep 2026 ↗
• NVD — CVE-2026-76461 ↗
• NVD — CVE-2026-85706 ↗

Verifikasi database

Laporan telah disimpan ke:

/opt/data/cron/output/bcda1a1c463e_20260915.txt

Importer berhasil dijalankan:

python3 /opt/data/security-report/import_reports.py

Hasil verifikasi:

• files_found=11
• imported=1
• reports=9
• findings=94
• vulnerabilities=41
• sources=80
• report_runs=11

Jumlah laporan meningkat dari 8 menjadi 9 dan tidak ada data lama yang dihapus.

To stop or manage this job, send me a new message (e.g. "stop reminder Laporan Harian Global Security Intelligence").