Laporan Riset Security System Global — 2026-10-13

python3 /opt/data/security-report/import_reports.py

DB=/opt/data/security-report/security_reports.db
files_found=62 imported=0
reports=35
findings=316
vulnerabilities=121
sources=228
report_runs=62

Waktu pemantauan: 13 Oktober 2026, 07.00 WIB
Cakupan: perkembangan publik hingga 12 Oktober 2026; prioritas 24–48 jam terakhir.

Ringkasan eksekutif

1. Tidak ditemukan tambahan CVE baru yang dapat diverifikasi dari sumber primer resmi dalam 24 jam terakhir berdasarkan pencarian CISA, NVD, dan advisory vendor yang tersedia. Namun, beberapa ancaman aktif yang sudah diumumkan sebelumnya tetap memerlukan tindakan segera.
2. CVE-2026-0257 pada Palo Alto PAN-OS GlobalProtect masih berstatus “ATTACKED” menurut advisory Palo Alto. Unit 42 sebelumnya mengamati eksploitasi aktif untuk membuat sesi VPN tidak sah; laporan ReliaQuest yang dikutip publik mengaitkannya dengan aktivitas Qilin dan Settra, tetapi atribusi ransomware tersebut belum dikonfirmasi secara independen oleh Palo Alto.
3. CISA/FBI/NSA dan mitra internasional mengungkap operasi China-linked yang memadukan botnet, scanning otomatis, password spraying, XSS, VPN SoftEther, dan pencurian email/credential. Target mencakup sektor pemerintahan, manufaktur, kesehatan, TI, pendidikan, serta organisasi di Asia Tenggara.
4. Phishing yang menyalahgunakan domain Microsoft Power BI untuk memasang rogue ScreenConnect/RMM masih menjadi risiko nyata. Huntress menemukan pola yang sama pada sejumlah endpoint dan 22 endpoint tambahan melalui retrospective hunt.
5. Risiko website/API Indonesia tetap tinggi: aset internet-facing lama, panel administrasi WordPress, VPN, firewall, mail server, GitLab self-managed, dan RMM harus diprioritaskan dibanding menunggu CVE baru.

---

1. Kerentanan dan eksploitasi aktif

A. Palo Alto PAN-OS GlobalProtect — CVE-2026-0257

• Produk terdampak: PAN-OS GlobalProtect portal/gateway dan versi Prisma Access tertentu.
• Dampak: authentication bypass yang dapat memungkinkan pembuatan koneksi VPN tanpa otorisasi.
• Severity: Palo Alto mencantumkan severity High, CVSS sekitar 7,8 pada pelaporan terkait.
• Status eksploitasi: ATTACKED pada advisory resmi Palo Alto; Unit 42 mengamati probing dan sesi VPN yang berhasil pada sebagian kecil perangkat.

Sumber: Palo Alto advisory ↗, Unit 42 threat brief ↗.

• Versi perbaikan: antara lain PAN-OS 12.1.4-h6/12.1.7, 11.2.4-h17/11.2.7-h14/11.2.10-h7/11.2.12, 11.1.4-h33 dan cabang perbaikan terkait; organisasi harus mencocokkan dengan train yang digunakan.
• Tindakan P0:
• Pastikan GlobalProtect telah berada pada versi fixed.
• Setelah patch, akhiri seluruh sesi GlobalProtect aktif dan autentikasi override cookie yang tidak diperlukan.
• Tinjau sesi VPN sejak periode disclosure, terutama sesi tidak biasa, hostname anomali seperti kali, sumber geografis tidak wajar, dan koneksi ke aset internal yang tidak sesuai pola kerja.
• Rotasi credential admin/VPN bila terdapat bukti sesi tidak sah.

Catatan keyakinan: eksploitasi PAN-OS dikonfirmasi oleh Palo Alto/Unit 42. Klaim bahwa Qilin dan Settra memanfaatkan CVE ini berasal dari laporan ReliaQuest yang diliput pihak ketiga; perlakukan sebagai indikasi berisiko tinggi, bukan atribusi final.

---

B. Gelombang CVE yang ditambahkan CISA KEV pada 8 Oktober

CISA menambahkan lima kerentanan ke KEV dan mengaitkan aktivitasnya dengan kampanye China-linked/Integrity Technology Group:

CISA mencatat forensic triage diperlukan untuk item-item tersebut dan menetapkan tenggat federal 11 Oktober 2026, yang sudah lewat. Organisasi non-federal sebaiknya memperlakukan seluruhnya sebagai prioritas P0/P1 bila aset terekspos internet.

Sumber: CISA KEV Catalog ↗, CISA/FBI/NSA AA26-281A ↗.

---

C. Citrix NetScaler ADC/Gateway — CVE-2026-88771 dan CVE-2026-88772

Dua kerentanan NetScaler yang telah masuk KEV sebelumnya tetap relevan karena dikaitkan dengan eksploitasi pre-authentication dan pemasangan web shell/tunneler:

• CVE-2026-88771: improper input validation, berpotensi arbitrary command execution.
• CVE-2026-88772: memory/DTLS-related flaw dengan dampak serius.
• Status: masuk KEV pada 27 September 2026; CISA mensyaratkan forensic triage.
• Tindakan: patch sesuai advisory Citrix, batasi akses management interface, dan periksa web root, proses PHP tidak biasa, serta koneksi keluar dari appliance.

Sumber: CISA KEV ↗, Citrix security bulletin ↗.

---

2. Kampanye dan aktivitas ancaman

A. Operasi China-linked: automated scanning + hands-on intrusion

Advisory gabungan AA26-281A, diterbitkan 8 Oktober 2026, menyebut threat actor yang difasilitasi Integrity Technology Group menggunakan:

• BBScan, dirsearch, Fscan, ksubdomain, masscan, Nmap, OneForAll, ShuiZe, dan WPScan.
• Password spraying terhadap berbagai interface Exchange/Microsoft 365.
• Eksploitasi XSS untuk memanen credential.
• Instalasi SoftEther VPN dengan nama yang menyerupai executable Windows sah.
• DCSync untuk mengambil credential dan informasi Active Directory.
• Script untuk mengakses serta mengekspor email dari Exchange/EWS.
• Living-off-the-land melalui PowerShell, Bash, curl, dan wget.

Implikasi untuk organisasi Indonesia: pola ini sangat relevan bagi pemerintah daerah, rumah sakit, kampus, perusahaan manufaktur, dan penyedia layanan TI yang masih memiliki Exchange lama, VPN appliance, WordPress, atau panel admin yang terekspos.

Sumber primer: AA26-281A — CISA/FBI/NSA/NCSC dan mitra ↗.

---

B. Phishing Microsoft Power BI → rogue ScreenConnect

Huntress melaporkan kampanye yang:

1. Mengirim email phishing dengan tautan menuju dokumen palsu pada domain sah app.powerbi.com.
2. Mengarahkan korban ke halaman “Download Reference”.
3. Mengunduh beberapa instance ScreenConnect yang dikendalikan attacker.
4. Membuat scheduled task untuk persistensi.
5. Menggunakan script PowerShell dan alat defense evasion untuk menyembunyikan aktivitas.

Huntress menemukan vector yang sama pada sejumlah endpoint dan mengidentifikasi 22 endpoint tambahan melalui retrospective hunt.

Deteksi yang disarankan:

• Inventaris seluruh instalasi ScreenConnect/ConnectWise Control dan validasi tenant/instance yang diizinkan.
• Cari scheduled task baru yang menjalankan PowerShell dari %TEMP%, profil user, atau direktori nonstandar.
• Tinjau browser/email telemetry untuk link Power BI yang diikuti dengan download executable.
• Blokir instalasi RMM yang tidak berasal dari software distribution resmi.

Sumber: Huntress — Phishing Campaign Abuses Microsoft Power BI ↗.

---

C. CyberXero: otomasi AI pada serangan WordPress dan infrastruktur kritis

SOCRadar melaporkan aktor IAB berbahasa Rusia bernama CyberXero yang menjalankan dua pipeline:

• Pipeline global terhadap WordPress dan e-commerce.
• Pipeline terarah terhadap energi dan infrastruktur kritis Ukraina.

Laporan tersebut menyebut penggunaan orkestrasi AI dan hingga 51 agen khusus untuk reconnaissance, exploit chaining, lateral movement, serta exfiltration. SOCRadar melaporkan satu eksekusi memindai ribuan target, memperoleh ratusan panel administrasi WordPress, dan memasang web shell.

Status: temuan berasal dari vendor threat-intelligence dan belum merupakan advisory pemerintah. Detailnya tetap penting sebagai indikator tren otomatisasi serangan, tetapi angka dan atribusi harus diperlakukan sebagai klaim vendor yang belum dikonfirmasi secara independen.

Sumber: SOCRadar — CyberXero ↗.

---

3. Dampak sektoral

Linux dan server

• Audit kernel, SSH, mail server, BIND, ProFTPD, GitLab, WordPress, PHP, dan framework web.
• Periksa authorized_keys, cron/systemd service, executable baru di /tmp, /var/tmp, /var/www, serta proses curl/wget yang tidak biasa.
• Pastikan server tidak menjalankan SoftEther atau tunneling tool tanpa persetujuan eksplisit.

Windows dan Active Directory

• Audit event DCSync/Directory Replication Service.
• Cari instalasi VPN/RMM tidak sah, PowerShell encoded command, executable bernama conhost.exe, dllhost.exe, atau DiagTrack.exe di lokasi nonstandar.
• Terapkan phishing-resistant MFA untuk VPN, email, dan administrator.

Cloud, identitas, dan email

• Tinjau password spraying pada OWA, EWS, OAB, RPC, ActiveSync, API, dan PowerShell.
• Audit OAuth application, service principal, mailbox forwarding rule, inbox rule, dan refresh token.
• Batasi akses cloud berdasarkan device compliance, lokasi, dan risiko sesi.

Website/API Indonesia

• Jangan mengekspos /wp-admin, panel CMS, GitLab, NetScaler, firewall, database, atau Redis langsung ke internet tanpa kontrol tambahan.
• Patch WordPress core/plugin dan hapus akun administrator yang tidak dikenal.
• Gunakan WAF, rate limiting, MFA admin, backup offline, serta monitoring perubahan file dan plugin.

---

4. Tindakan prioritas

P0 — hari ini

1. Patch atau isolasi PAN-OS GlobalProtect yang masih rentan terhadap CVE-2026-0257.
2. Patch/isolasi Citrix NetScaler yang terkena CVE-2026-88771/88772.
3. Verifikasi remediasi lima CVE CISA KEV terkait ProFTPD, ONLYOFFICE, Strapi, Apache Struts, dan BIND.
4. Putuskan sesi VPN/RMM yang tidak dapat divalidasi.
5. Periksa indikasi web shell, akun admin baru, scheduled task mencurigakan, SoftEther, dan akses email abnormal.

P1 — 24–72 jam

1. Rotasi credential VPN, admin, service account, dan secret aplikasi bila ada exposure.
2. Audit DCSync, mailbox export, OAuth consent, forwarding rule, dan perubahan firewall.
3. Validasi semua instalasi ScreenConnect/ConnectWise Control.
4. Aktifkan MFA phishing-resistant untuk admin, VPN, email, dan panel cloud.
5. Pastikan logging VPN, identity provider, endpoint, DNS, WAF, dan email tersimpan cukup lama untuk forensic review.

P2 — minggu ini

1. Buat inventaris seluruh aset internet-facing dan software EOL.
2. Terapkan vulnerability prioritization berbasis CISA KEV + exposure + privilege impact.
3. Segmentasikan server email, domain controller, backup, dan jaringan produksi.
4. Uji pemulihan backup offline dan lakukan tabletop exercise untuk skenario VPN compromise/ransomware.
5. Perbarui allowlist RMM dan kebijakan instalasi software.

---

5. Hal yang belum pasti

• Tidak ada bukti publik yang cukup untuk menyatakan bahwa organisasi Indonesia tertentu telah terdampak kampanye di atas.
• Keterkaitan langsung Qilin/Settra dengan CVE-2026-0257 masih terutama berasal dari ReliaQuest; Palo Alto mengonfirmasi eksploitasi, tetapi bukan atribusi ransomware tersebut.
• Laporan CyberXero berasal dari SOCRadar dan perlu validasi silang sebelum angka korban atau atribusi dipakai sebagai fakta final.
• Feed JSON CISA yang diakses menunjukkan metadata katalog lebih lama daripada halaman web KEV yang telah memuat pembaruan September/Oktober. Karena itu, tanggal dan status KEV dalam laporan ini diprioritaskan dari halaman katalog/advisory CISA yang lebih mutakhir, bukan hanya metadata JSON feed.

Sumber bertanggal

• CISA/FBI/NSA dan mitra, AA26-281A, 8 Oktober 2026:

https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a ↗

• CISA Known Exploited Vulnerabilities Catalog, diakses 13 Oktober 2026:

https://www.cisa.gov/known-exploited-vulnerabilities-catalog ↗

• Palo Alto Networks, CVE-2026-0257, advisory vendor:

https://security.paloaltonetworks.com/CVE-2026-0257 ↗

• Unit 42, active exploitation of CVE-2026-0257:

https://unit42.paloaltonetworks.com/active-exploitation-of-pan-os-cve-2026-0257/ ↗

• Huntress, kampanye Power BI/ScreenConnect:

https://huntress.com/blog/screenconnect-power-bi ↗

• SOCRadar, CyberXero:

https://socradar.io/blog/cyberxero-ai-iab-ukraine-critical-infrastructure/ ↗

Status impor SQLite

Script wajib telah dijalankan:

python3 /opt/data/security-report/import_reports.py

Hasil verifikasi:

DB=/opt/data/security-report/security_reports.db
files_found=62 imported=0
reports=35
findings=316
vulnerabilities=121
sources=228
report_runs=62

Database berhasil diproses dan jumlah laporan tidak menurun: tetap 35 reports.

To stop or manage this job, send me a new message (e.g. "stop reminder Laporan Harian Global Security Intelligence").