LAPORAN HARIAN · 2026-09-20

Laporan Riset Security System Global — 2026-09-20

Pemantauan publik hingga 20 September 2026 pukul 07.00 WIB, dengan fokus perubahan dan publikasi 18–20 September 2026.

Publikasi 2026-09-20·7 temuan terstruktur·9 sumber

Temuan utama

Diurutkan menurut prioritas tindakan.

P0 — CVE-2025-39682: Linux kernel TLS receive path

TerkonfirmasiP0

Fakta: CISA menambahkan CVE ini ke KEV pada 18 September berdasarkan bukti eksploitasi aktif. Kerentanan berada pada penanganan zero-length record di jalur penerimaan TLS Linux kernel.

Produk: Linux kernel dan produk/appliance yang mengintegrasikan kernel.
Severity: NVD menampilkan 7.1 HIGH; CNA kernel.org menampilkan 9.8 CRITICAL.
Status KEV: Ya.
Due date CISA: 21 September 2026.
Tindakan: Patch kernel melalui advisory distro/vendor, reboot sesuai prosedur, dan inventarisasi host internet-facing.
Forensik: Simpan log dan bukti sebelum patch apabila terdapat indikasi kompromi.

Sumber: CISA, 18 September 2026 ↗ · NVD ↗

P0 — CVE-2026-87886: Acronis Backup plugin/extension

TerkonfirmasiP0

Fakta: Acronis menyatakan eksploitasi telah terdeteksi di alam dalam serangan terbatas dan terarah terhadap deployment plugin cPanel & WHM.

Dampak: Local privilege escalation akibat insecure file permissions.
Severity: CVSS 7.8 HIGH.
Terdampak:
Acronis Backup plugin for cPanel & WHM sebelum build 1.9.3.1021.
Acronis Backup extension for Plesk sebelum build 1.8.11.638.
Aksi: Patch segera, audit akun lokal, perubahan permission/ownership, proses istimewa, cron, systemd, dan akses backup.
Catatan analisis: Pada shared hosting, foothold dapat berasal dari akun hosting, aplikasi web yang dibobol, atau tenant lain sebelum digunakan untuk eskalasi ke root.

Sumber: Acronis SEC-10986 ↗ · CISA KEV Catalog ↗

P0 — Hari ini

AsesmenP0

Patch CVE-2025-39682 pada kernel terdampak.
Patch CVE-2026-87886 pada Acronis cPanel/WHM/Plesk.
Inventarisasi server hosting publik dan lakukan triage forensik jika terdapat indikasi eksploitasi.
Preserve evidence sebelum melakukan pembersihan besar-besaran.

P1 — CVE-2026-85880 dan CVE-2026-81963: Windows

TerkonfirmasiP1

Microsoft merilis pembaruan September 2026 pada 19 September, mencakup 975 CVE. Dua CVE berikut ditandai Exploitation Detected:

CVE-2026-85880

Produk: Windows Advanced Local Procedure Call (ALPC).
Dampak: Elevation of Privilege melalui heap-based buffer overflow.
CVSS: 7.8 base; temporal 6.8.
Vektor: Lokal, kompleksitas rendah, hak rendah, tanpa interaksi pengguna.
KEV: Ya, due date 22 September 2026.

CVE-2026-81963

Produk: Windows Update Stack.
Dampak: Elevation of Privilege melalui link-following flaw.
CVSS: 7.8 base; temporal 7.2.
Vektor: Lokal, kompleksitas rendah, hak rendah, tanpa interaksi pengguna.
KEV: Ya, due date 22 September 2026.

Tindakan: Percepat deployment cumulative/security update Microsoft September, prioritaskan endpoint dan server yang menerima akses pengguna rendah, lalu validasi reboot serta versi patch.

Sumber: MSRC September 2026 ↗ · CVE-2026-85880 ↗ · CVE-2026-81963 ↗

P1 — CVE-2026-58138: Orkes Conductor

TerkonfirmasiP1

Fakta: NVD mendeskripsikan unauthenticated remote code execution pada Orkes Conductor 3.21.21 sebelum 3.30.2 melalui inline workflow dan evaluator GraalVM yang tidak tersandbox.

Dampak: Eksekusi arbitrary OS command.
Severity: CVSS-B 9.3 CRITICAL.
Perbaikan: Upgrade ke 3.30.2 atau lebih baru.
Mitigasi: Batasi workflow API dengan autentikasi dan allowlist jaringan; jangan mengekspos endpoint workflow ke internet publik; tinjau request workflow abnormal dan child process.

Status eksploitasi: SecurityWeek dan The Hacker News melaporkan eksploitasi di alam, tetapi belum ditemukan konfirmasi primer dari Orkes atau CISA dalam pemantauan ini. Perlakukan instance internet-facing yang rentan sebagai risiko tinggi sampai diverifikasi.

Sumber: NVD ↗ · SecurityWeek ↗

Kampanye malware, ransomware, phishing, dan supply-chain

Tidak ditemukan kampanye baru yang dapat dikonfirmasi secara primer dan silang dalam jendela 24–48 jam pemantauan ini.

Pola risiko yang terkonfirmasi:

Eksploitasi software hosting dan backup.
Privilege escalation lokal setelah foothold awal.
Eksploitasi endpoint Windows setelah attacker memperoleh akses lokal.
Risiko API/workflow internet-facing yang dapat memungkinkan RCE tanpa autentikasi.

Klaim ransomware dari agregator atau berita tanpa advisory primer tidak diperlakukan sebagai fakta terkonfirmasi.

Dampak untuk organisasi Indonesia

Linux/website/API: Audit cPanel, WHM, Plesk, plugin backup, kernel, panel admin, dan API workflow.
Hosting/MSP: Segmentasikan tenant, pisahkan kredensial backup dari host produksi, dan uji pemulihan backup offline atau immutable.
Windows: Percepat patch September, pastikan EDR aktif, serta cari proses atau akun berprivilege yang muncul setelah foothold lokal.
Cloud/identity: Terapkan MFA tahan-phishing untuk admin, VPN, Git, panel hosting, dan cloud console.
Network exposure: Tutup endpoint publik yang tidak diperlukan; gunakan VPN, allowlist, reverse proxy, dan kontrol akses berbasis identitas.

Tindakan prioritas

P1 — Maksimal 24 jam

AsesmenP1

Deploy patch Microsoft untuk CVE-2026-85880 dan CVE-2026-81963.
Upgrade atau isolasi Orkes Conductor yang rentan.
Review log panel, API, autentikasi admin, child process, cron, systemd, dan perubahan permission.
Rotasi secret setelah containment dan preservasi bukti.

P2 — Maksimal 7 hari

AsesmenP2

Verifikasi backup restore.
Terapkan least privilege untuk tenant dan service account.
Pastikan MFA, segmentasi jaringan, dan vulnerability SLA berbasis KEV.
Lakukan tabletop exercise untuk skenario web foothold menjadi akses root.

Hal yang belum pasti

CISA mengonfirmasi eksploitasi aktif CVE-2025-39682 dan Acronis mengonfirmasi serangan terbatas CVE-2026-87886, tetapi aktor, korban, IOC, dan detail teknik eksploitasi belum dipublikasikan secara lengkap.
Microsoft menyatakan Exploitation Detected untuk dua CVE Windows, tetapi detail kampanye dan IOC publik belum tersedia pada catatan rilis yang ditinjau.
Eksploitasi CVE-2026-58138 masih didukung sumber sekunder dalam pemantauan ini.
Skor CVSS berbeda antara NVD dan CNA untuk beberapa CVE; evaluasi harus mempertimbangkan vektor, versi, exposure, dan kontrol yang berlaku.

Verifikasi penyimpanan SQLite

Laporan telah disimpan dan diimpor melalui:


python3 /opt/data/security-report/import_reports.py

Hasil verifikasi:


DB=/opt/data/security-report/security_reports.db
files_found=18 imported=1
reports=14
findings=143
vulnerabilities=51
sources=116
report_runs=18
verify_latest=[('2026-09-20', 'Laporan Riset Security System Global — 2026-09-20'),
               ('2026-09-19', 'Laporan Riset Security System Global — 2026-09-19')]
verify_reports=14
verify_runs=18

Data laporan sebelumnya tetap tersimpan; jumlah laporan tidak menurun.

To stop or manage this job, send me a new message (e.g. "stop reminder Laporan Harian Global Security Intelligence").

Cakupan: Pemantauan publik hingga 20 September 2026 pukul 07.00 WIB, dengan fokus perubahan dan publikasi 18–20 September 2026.

Ringkasan eksekutif

P0 — Linux hosting: CISA menambahkan CVE-2025-39682 ke KEV pada 18 September berdasarkan bukti eksploitasi aktif. Tenggat remediasi CISA: 21 September 2026.
P0 — Server hosting Acronis: Acronis mengonfirmasi eksploitasi terbatas dan terarah terhadap CVE-2026-87886 pada plugin cPanel & WHM. CVSS 7.8.
P1 — Windows: Microsoft menandai CVE-2026-85880 dan CVE-2026-81963 sebagai Exploitation Detected dalam rilis September 2026.
P1 — API/workflow: CVE-2026-58138 pada Orkes Conductor merupakan unauthenticated RCE dengan CVSS-B 9.3. Eksploitasi dilaporkan oleh sumber sekunder, tetapi belum ditemukan konfirmasi primer dari vendor atau CISA.
Risiko paling relevan bagi organisasi Indonesia adalah rantai website/akun hosting → akses lokal terbatas → root, serta panel dan API yang terekspos internet.

Kerentanan aktif dieksploitasi