Laporan Riset Security System Global — 2026-09-18

Tanggal: 18 September 2026, 07.01 WIB
Cakupan: Perkembangan publik terbaru hingga 18 September 2026

Ringkasan eksekutif

1. Dua zero-day Cisco yang dieksploitasi aktif menjadi prioritas tertinggi: Cisco ISE authentication bypass CVE-2026-76460 dengan CVSS 10.0 dan Cisco Secure Email Gateway SQL injection CVE-2026-76461 dengan CVSS 9.8. Keduanya memungkinkan akses jarak jauh tanpa autentikasi; SEG dapat berujung eksekusi perintah dengan hak root. Cisco ISE, 16 Sep 2026 ↗ · Cisco SEG, 14 Sep 2026 ↗
2. Google Pixel memiliki zero-day modem yang telah masuk CISA KEV: CVE-2026-58704, dengan indikasi eksploitasi terbatas dan tertarget. Patch level minimal yang relevan adalah 2026-09-05. CISA KEV, katalog 16 Sep 2026 ↗ · Google Pixel Bulletin, 15 Sep 2026 ↗
3. Acronis Backup untuk cPanel/WHM dan Plesk: CVE-2026-87886 telah masuk KEV dan dilaporkan dieksploitasi untuk local privilege escalation akibat permission yang tidak aman. Ini relevan bagi penyedia hosting, VPS, dan server Linux.
4. Microsoft merilis pembaruan September 2026 dengan 975 CVE, termasuk CVE-2026-85880 pada Windows ALPC dan CVE-2026-81963 pada Windows Update Stack yang berstatus “Exploitation Detected”. MSRC, 17 Sep 2026 ↗
5. Riset Cisco Talos menunjukkan ransomware tetap menargetkan perusahaan kecil-menengah di kawasan Asia; di Jepang, 78% korban yang dianalisis memiliki kapitalisasi di bawah JPY 1 miliar. Temuan ini merupakan indikator risiko regional, bukan bukti serangan terhadap organisasi Indonesia. Cisco Talos, 17 Sep 2026 ↗

---

Kerentanan baru atau aktif dieksploitasi

P0 — Tindakan segera

1. Cisco Identity Services Engine — CVE-2026-76460

• Produk: Cisco Identity Services Engine (ISE) dan ISE Passive Identity Connector (ISE-PIC).
• Jenis: Authentication bypass / incorrect use of privileged APIs.
• Dampak: Penyerang jarak jauh tanpa autentikasi dapat melewati antarmuka manajemen web dan memperoleh akses tidak sah.
• Severity: Critical, CVSS 10.0; vektor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.
• Status eksploitasi: Cisco PSIRT menyatakan mengetahui eksploitasi aktif.
• Perbaikan:
• ISE 3.1 → Patch 12
• ISE 3.2 → Patch 11
• ISE 3.3 → Patch 12
• ISE 3.4 → Patch 7
• ISE 3.5 → Patch 4

Cisco menyatakan tidak ada workaround penuh; iACL dapat digunakan sebagai mitigasi sementara untuk membatasi trafik ke perangkat.

• CISA KEV: Ditambahkan 16 September 2026; due date federal 19 September 2026.
• Rekomendasi: Isolasi sementara akses manajemen, lakukan upgrade, tinjau log autentikasi/API, dan perlakukan perangkat sebagai berpotensi terkompromi bila terekspos ke internet.

2. Cisco Secure Email Gateway — CVE-2026-76461

• Produk: Cisco Secure Email Gateway berbasis AsyncOS, fisik maupun virtual.
• Jenis: SQL injection pada logika parsing email.
• Dampak: Penyerang tanpa autentikasi dapat mengirim email yang dirancang khusus dan berpotensi menjalankan perintah pada sistem operasi dengan hak root.
• Severity: Critical, CVSS 9.8.
• Status eksploitasi: Cisco menyatakan eksploitasi aktif telah diketahui.
• CISA KEV: Ditambahkan 14 September 2026; due date 17 September 2026, sehingga tenggat tersebut telah lewat.
• Perbaikan: Upgrade ke AsyncOS fixed release Cisco. Cisco menyatakan tidak ada workaround yang mengatasi akar masalah.
• Pemeriksaan insiden: Tinjau mail_logs pada seluruh anggota cluster untuk aktivitas parsing atau SQL mencurigakan, serta korelasikan dengan log firewall dan koneksi keluar.
• Rekomendasi: Prioritaskan patch/isolasi hari ini. Jika terdapat indikasi eksploitasi, aktifkan prosedur incident response dan hubungi Cisco TAC.

3. Google Pixel Cellular Modem — CVE-2026-58704

• Produk: Perangkat Google Pixel yang terdampak oleh bulletin September 2026.
• Jenis: Improper authorization / protection mechanism failure.
• Dampak: Bypass permission pada komponen modem dan remote/proximal elevation of privilege; tidak memerlukan interaksi pengguna.
• Severity: High menurut bulletin Pixel.
• Status eksploitasi: Google menyebut ada indikasi limited, targeted exploitation.
• CISA KEV: Ditambahkan 16 September 2026; due date 19 September 2026; forensic triage diwajibkan dalam entri KEV.
• Perbaikan: Terapkan security patch level 2026-09-05 atau lebih baru.
• Rekomendasi: Pastikan MDM melaporkan patch level semua Pixel korporat; prioritaskan perangkat pejabat, admin, developer, dan pengguna yang menangani informasi sensitif. Simpan dan tinjau artefak forensik sebelum melakukan reset perangkat jika terdapat indikasi serangan.

P1 — Perlu ditangani segera

4. Acronis Backup — CVE-2026-87886

• Produk: Acronis Backup plugin untuk cPanel & WHM serta extension untuk Plesk.
• Jenis: Incorrect default permissions / insecure file permissions.
• Dampak: Local privilege escalation pada server hosting Linux.
• Severity: High, CVSS 7.8 menurut laporan vendor/industri yang dirujuk.
• Status eksploitasi: Masuk CISA KEV dan Acronis memperingatkan adanya eksploitasi tertarget.
• Rekomendasi: Inventarisasi seluruh cPanel/WHM dan Plesk, upgrade plugin/extension sesuai advisory Acronis SEC-10986 ↗, audit permission setelah upgrade, dan periksa proses/service baru, perubahan file, serta aktivitas privilege escalation.

5. Microsoft Windows ALPC — CVE-2026-85880

• Produk: Windows Advanced Local Procedure Call.
• Jenis: Heap-based buffer overflow dan use of uninitialized resource.
• Dampak: Elevation of privilege lokal.
• Severity: High, CVSS 7.8.
• Status: Microsoft menandai Exploitation Detected dalam rilis September 2026.
• Rekomendasi: Terapkan cumulative update September 2026 pada endpoint dan server Windows; prioritaskan perangkat yang telah menunjukkan aktivitas login mencurigakan atau eksekusi proses dengan hak tinggi.

6. Microsoft Windows Update Stack — CVE-2026-81963

• Produk: Windows Update Stack.
• Jenis: Improper link resolution before file access dan improper access control.
• Dampak: Elevation of privilege lokal.
• Severity: High, CVSS 7.8.
• Status: Microsoft menandai Exploitation Detected.
• Rekomendasi: Terapkan pembaruan September 2026 dan validasi keberhasilan instalasi. Periksa endpoint yang gagal memperbarui karena sistem tersebut dapat tetap berada pada kondisi rentan.

---

Kampanye malware, ransomware, dan social engineering

Ransomware menargetkan SME di kawasan Asia

Cisco Talos melaporkan 90 organisasi di Jepang terdampak ransomware pada Januari–Juli 2026, dibandingkan 86 pada periode sama tahun sebelumnya, atau kenaikan sekitar 4,7%.

Temuan yang relevan:

• 78% korban memiliki kapitalisasi di bawah JPY 1 miliar.
• Manufaktur menjadi sektor terbesar dengan sekitar 34% insiden.
• The Gentlemen menjadi kelompok paling aktif dalam sampel Jepang, diikuti Qilin dan SafePay.
• Listing kebocoran The Gentlemen meningkat dari 48 pada Januari menjadi 105 pada Juli.
• Talos menilai terdapat indikasi Qilin memanfaatkan AI untuk meningkatkan efisiensi operasi.

Analisis: Pola ini relevan bagi organisasi Indonesia karena perusahaan manufaktur, jasa profesional, distributor, dan penyedia layanan digital dengan kapasitas pertahanan terbatas juga merupakan target bernilai. Tidak ada bukti dalam sumber ini bahwa kelompok tersebut telah menyerang organisasi Indonesia tertentu.

ClickFix bergeser dari OS ke browser

Cisco Talos mendokumentasikan kampanye yang membujuk korban menempelkan JavaScript ke address bar Chrome atau memasangnya melalui Tampermonkey. Kampanye menyalahgunakan Google Visualization API dan Google Sheets sebagai kanal pengambilan skrip.

Dampaknya meliputi:

• Penggantian alamat wallet cryptocurrency pada respons web dan clipboard.
• Modifikasi sesi browser.
• Persistence melalui browser extension.
• Potensi perluasan metode ke aplikasi web e-commerce atau supply-chain JavaScript.

Tindakan defensif: Batasi extension melalui kebijakan browser, deteksi instalasi Tampermonkey yang tidak disetujui, edukasi pengguna agar tidak menempelkan kode ke address bar/DevTools, dan monitor akses tidak lazim ke docs.google.com dari sesi atau proses yang tidak berkaitan dengan aktivitas Google Workspace.

---

Dampak menurut permukaan serangan

• Linux/hosting: CVE-2026-87886 berisiko langsung pada cPanel/WHM dan Plesk; server hosting bersama perlu diaudit secara fleet-wide.
• Windows: Dua CVE Microsoft berstatus exploitation detected; patch September 2026 harus dipercepat, terutama pada server, workstation admin, dan endpoint dengan akses domain.
• Cloud/identity: Cisco ISE dapat menjadi titik masuk penting ke kontrol akses jaringan, identitas perangkat, dan segmentasi internal.
• Email/network appliance: Cisco SEG adalah perangkat perimeter; kompromi root dapat berdampak pada email, konfigurasi gateway, kredensial, dan pivot ke jaringan internal.
• Mobile endpoint: Pixel yang belum mencapai patch 2026-09-05 perlu diprioritaskan, khususnya perangkat dengan akses administratif atau data bisnis.
• Website/API: Pola browser injection dan API tanpa rate limiting menunjukkan perlunya proteksi WAF, pembatasan otomatisasi, CSP, dependency scanning, dan monitoring perubahan JavaScript.

---

Tindakan yang direkomendasikan

P0 — Hari ini

1. Identifikasi dan patch/isolasi seluruh:

• Cisco ISE/ISE-PIC.
• Cisco Secure Email Gateway.
• Google Pixel dengan patch di bawah 2026-09-05.
• Acronis Backup plugin/extension pada cPanel/WHM/Plesk.

1. Cari aset internet-facing dan perangkat manajemen yang dapat diakses dari jaringan umum.
2. Tinjau indikator kompromi Cisco SEG, termasuk mail_logs, koneksi keluar, perubahan konfigurasi, dan proses tidak normal.
3. Bila perangkat Cisco menunjukkan anomali, simpan log dan lakukan triase forensik sebelum reboot atau reset.
4. Terapkan pembaruan Microsoft September 2026 pada sistem yang mendukung Windows Update.

P1 — 24 jam

1. Audit akun administratif, API token, service account, dan kredensial yang pernah digunakan pada perangkat terdampak.
2. Korelasikan log VPN, firewall, email gateway, identity appliance, EDR, dan DNS.
3. Pastikan backup offline/immutable dapat dipulihkan; uji satu skenario pemulihan.
4. Terapkan MFA tahan-phishing untuk akses admin dan vendor.
5. Batasi browser extension dan hak developer-level pada endpoint pengguna.

P2 — 7 hari

1. Perbarui inventaris software, firmware, appliance, dan dependency JavaScript.
2. Tambahkan pemeriksaan permission file pada server hosting ke baseline compliance.
3. Simulasikan tabletop ransomware untuk skenario kompromi vendor atau appliance perimeter.
4. Evaluasi rate limiting, WAF, CSP, audit API, dan deteksi perubahan script pada website/API publik.

---

Hal yang belum pasti

• Cisco belum mempublikasikan rincian aktor, skala, atau teknik eksploitasi CVE-2026-76460 dan CVE-2026-76461.
• Google belum menjelaskan aktor dan rantai serangan CVE-2026-58704; “limited, targeted exploitation” bukan indikasi eksploitasi massal.
• CISA mencatat penggunaan CVE-2026-58704, CVE-2026-76460, CVE-2026-76461, dan CVE-2026-87886 dalam kampanye ransomware sebagai Unknown.
• Data Cisco Talos mengenai Jepang tidak dapat langsung diekstrapolasi sebagai jumlah insiden Indonesia.
• Status “Exploitation Detected” pada MSRC mengonfirmasi sinyal eksploitasi menurut klasifikasi Microsoft, tetapi detail publik mengenai korban dan kampanye belum tersedia pada sumber yang ditinjau.

---

Sumber bertautan dan bertanggal

• CISA Known Exploited Vulnerabilities Catalog — katalog 16 September 2026 ↗
• Cisco ISE Authentication Bypass Advisory — 16 September 2026 ↗
• Cisco Secure Email Gateway SQL Injection Advisory — September 2026 ↗
• Google Pixel Update Bulletin — 15 September 2026 ↗
• Android Security Bulletin — September 2026 ↗
• Microsoft September 2026 Security Updates — dirilis 17 September 2026 ↗
• Acronis Security Advisory SEC-10986 ↗
• Cisco Talos: Ransomware incidents in Japan, 1H 2026 — 17 September 2026 ↗
• Cisco Talos: ClickFix moves into the browser — 8 September 2026 ↗

Status database: python3 /opt/data/security-report/import_reports.py berhasil dijalankan. Output menunjukkan files_found=14, imported=0, dan jumlah histori tetap tidak turun: 11 reports, 123 findings, 44 vulnerabilities, 92 sources, 14 report_runs.

To stop or manage this job, send me a new message (e.g. "stop reminder Laporan Harian Global Security Intelligence").