Laporan Riset Security System Global — 2026-10-01

Waktu: 1 Oktober 2026, 07.00 WIB
Cakupan: pembaruan publik terverifikasi, dengan fokus 24–48 jam terakhir.

Ringkasan eksekutif

1. P0 — Cisco Catalyst SD-WAN Manager: CISA menambahkan CVE-2026-76504 ke KEV pada 30 September berdasarkan bukti eksploitasi aktif. Cisco menilainya sebagai bypass autentikasi API dengan CVSS 10.0.
2. P0 — Citrix NetScaler ADC/Gateway: CVE-2026-88771 dan CVE-2026-88772 masih menjadi risiko perimeter kritis. CISA mengonfirmasi eksploitasi global; CERT-EU memberi CVSS 9.5 untuk masing-masing.
3. P1 — Apple: CISA menambahkan CVE-2026-86950 ke KEV pada 29 September. Apple menyatakan kerentanan ini telah dieksploitasi dalam serangan yang sangat tertarget.
4. P1 — Oracle PeopleSoft: Google Threat Intelligence/Mandiant melaporkan kampanye eksploitasi massal yang kembali aktif terhadap CVE-2026-35273, dikaitkan dengan UNC6240/ShinyHunters.
5. Belum ditemukan bukti publik primer yang cukup untuk menyatakan adanya kampanye ransomware baru yang secara khusus menarget organisasi Indonesia dalam 24–48 jam terakhir.

Kerentanan aktif dan tindakan

CVE-2026-76504 — Cisco Catalyst SD-WAN Manager

• Status: masuk CISA KEV pada 30 September 2026; eksploitasi aktif.
• Dampak: bypass autentikasi API.
• Severity: CVSS v3.1 10.0 — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
• Tindakan segera:
• Upgrade ke fixed release Cisco.
• Batasi akses management/API dari internet.
• Rotasi kredensial, token, dan secret yang mungkin terekspos.
• Audit login/API, pembuatan akun, perubahan konfigurasi, dan koneksi outbound.
• Simpan log sebelum melakukan perubahan besar jika ada indikasi kompromi.

Sumber:
CISA, 30 September 2026 ↗ · Cisco PSIRT ↗ · NVD ↗

CVE-2026-88771 dan CVE-2026-88772 — Citrix NetScaler

• Status: CISA KEV; eksploitasi aktif secara global.
• CVE-2026-88771: unauthenticated remote code execution.
• CVE-2026-88772: memory overflow yang dapat menyebabkan RCE atau DoS ketika DTLS aktif.
• Severity: masing-masing CVSS 9.5 menurut CERT-EU.
• Tindakan segera:
• Upgrade seluruh customer-managed NetScaler ADC/Gateway ke versi perbaikan Citrix.
• Lakukan compromise assessment sebelum patch bila terdapat indikasi serangan.
• Hunt authentication log, User-Agent mencurigakan, perubahan konfigurasi web server, web shell, dan koneksi outbound baru.
• Pertahankan bukti forensik sebelum reboot atau perubahan konfigurasi.

Sumber:
CISA, 27 September 2026 ↗ · CERT-EU Advisory 2026-014 ↗ · CERT-EU Investigation ↗

CVE-2026-86950 — Apple Multiple Products

• Status: masuk CISA KEV pada 29 September.
• Dampak: out-of-bounds write.
• Eksploitasi: Apple menyatakan terdapat laporan eksploitasi dalam serangan sangat tertarget.
• Tindakan:
• Update iOS/iPadOS dan macOS melalui MDM.
• Verifikasi versi perangkat secara terpusat.
• Periksa profil konfigurasi, aplikasi, dan akun yang tidak dikenal pada perangkat berisiko.

Sumber:
CISA, 29 September 2026 ↗ · Apple iOS/iPadOS ↗ · Apple macOS Sequoia ↗ · Apple macOS Tahoe ↗

Kampanye dan tren terkonfirmasi

Oracle PeopleSoft — UNC6240/ShinyHunters

Google Threat Intelligence/Mandiant melaporkan renewed mass exploitation terhadap CVE-2026-35273 dengan target lintas sektor.

Analisis defensif:

• Prioritaskan patch dan guidance vendor PeopleSoft.
• Audit authentication event, akses akun privileged, web/API log, dan token.
• Periksa perubahan file, job, integrasi, serta koneksi outbound dari server aplikasi.
• Pastikan kredensial service account tidak dapat digunakan lintas lingkungan.

Sumber: Google Cloud CISO Perspectives, 30 September 2026 ↗

Cloud dan identity

Google GTIG kembali menyoroti penyalahgunaan personal access token untuk memperoleh akses cloud dan menjalankan infrastruktur AI tanpa izin.

Rekomendasi:

• Gunakan token berumur pendek.
• Audit workload identity dan service account.
• Monitor pembuatan resource, lonjakan biaya, pemakaian GPU, serta egress.
• Terapkan phishing-resistant MFA untuk administrator.
• Cabut token lama atau token yang tidak memiliki pemilik jelas.

Prioritas tindakan

P0 — Hari ini

• Inventaris dan patch Cisco SD-WAN Manager serta Citrix NetScaler yang internet-facing.
• Lakukan exposure check eksternal.
• Simpan log dan lakukan compromise assessment jika terdapat indikasi.
• Rotasi kredensial atau token terkait perangkat/aplikasi terdampak.

P1 — Dalam 24 jam

• Update fleet Apple, Windows, dan Chrome.
• Verifikasi versi melalui MDM/EDR, bukan hanya kebijakan update.
• Audit perimeter untuk authentication bypass, management endpoint yang terbuka, web shell, dan koneksi outbound baru.
• Pastikan panel admin website/API tidak dapat diakses publik.

P2 — Dalam 7 hari

• Uji pemulihan backup dan pastikan backup immutable.
• Dokumentasikan pemilik aset, versi, SLA patch, dan bukti verifikasi.
• Terapkan segmentasi management network, egress allowlist, least privilege, dan token berumur pendek.
• Petakan temuan yang relevan ke MITRE ATT&CK, termasuk Valid Accounts, External Remote Services, Web Shell, dan Exfiltration Over Web Service.

Dampak untuk Indonesia

Prioritas pemeriksaan sebaiknya diberikan kepada:

• ISP dan penyedia layanan managed network.
• Instansi pemerintah dan pemerintah daerah.
• Rumah sakit, kampus, dan manufaktur.
• Organisasi yang menggunakan VPN, SD-WAN, NetScaler, atau perimeter appliance.
• Website/API dengan panel administrasi atau integrasi PeopleSoft.

Klaim eksploitasi global tidak otomatis berarti organisasi Indonesia telah terdampak. Validasi harus dilakukan melalui telemetry lokal, log, EDR, firewall, WAF, dan inventaris aset.

Hal yang belum pasti

• Detail initial access dan cakupan korban CVE-2026-76504 belum dipublikasikan secara lengkap; status aktif berasal dari CISA KEV.
• Apple belum mencantumkan CVSS untuk CVE-2026-86950 pada halaman security content yang ditinjau.
• Belum ada dasar cukup untuk mengatribusikan seluruh aktivitas Citrix atau PeopleSoft kepada satu operator.
• Tidak ditemukannya laporan publik tentang korban Indonesia bukan bukti bahwa tidak ada aktivitas terhadap organisasi Indonesia.

Verifikasi database

Laporan berhasil diimpor ke SQLite:

• Database: /opt/data/security-report/security_reports.db
• Reports: 24
• Findings: 223
• Vulnerabilities: 85
• Sources: 174
• Report runs: 38
• CVE baru terverifikasi di database: CVE-2026-76504, CVE-2026-88771, CVE-2026-88772

To stop or manage this job, send me a new message (e.g. "stop reminder Laporan Harian Global Security Intelligence").