Laporan Riset Security System Global — 2026-10-14

Waktu pemantauan: 14 Oktober 2026, 07.00 WIB
Cakupan: perkembangan publik hingga 14 Oktober 2026, dengan fokus perubahan dan pengungkapan 12–14 Oktober 2026.

Ringkasan eksekutif

1. Dua CVE baru masuk CISA KEV pada 13 Oktober: CVE-2026-96951 pada Windows Shell dan CVE-2026-104935 pada Ivanti Connect Secure. Keduanya harus diprioritaskan karena eksploitasi aktif telah dikonfirmasi CISA.
2. Risiko tertinggi adalah Ivanti Connect Secure. Zero-day ini memungkinkan bypass autentikasi dan eksekusi perintah dari jarak jauh tanpa autentikasi.
3. Volexity mengonfirmasi rantai eksploit UTA0576 pada appliance ICS yang saat itu telah dipatch, dengan akses root, pencurian kredensial/metadata Active Directory, dan teknik anti-forensik.
4. CVE-2026-96951 memiliki CVSS 8.8 High dan membutuhkan interaksi pengguna, tetapi status KEV berarti pembaruan Windows tetap harus dipercepat.
5. Serangan identity dan edge masih menjadi pola utama: scanning, password spraying Exchange/Microsoft 365, XSS credential harvesting, VPN persistence, serta pencurian mailbox dan kredensial AD.

Kerentanan baru/aktif dieksploitasi

P0 — CVE-2026-104935 — Ivanti Connect Secure

• Dampak: authentication bypass by spoofing yang memungkinkan remote unauthenticated arbitrary-command execution.
• Severity: CVSS 8.6 High

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L

• Versi terdampak:
• 25.1.1.1 dan sebelumnya
• 25.1.2.2 dan sebelumnya
• 22.8R2.4 dan sebelumnya
• Versi perbaikan:
• 25.1.1.2
• 25.1.3.0 atau 25.1.3.1
• 22.8R2.5
• Status eksploitasi: CISA menambahkan CVE ini ke KEV pada 13 Oktober 2026. CISA menyebut eksploitasi aktif untuk pencurian kredensial dan eksfiltrasi data. Ivanti mengonfirmasi eksploitasi pada sejumlah pelanggan.
• Intelijen Volexity: aktor UTA0576 mengeksploitasi perangkat sejak 3 Oktober 2026. Aktivitas mencakup:
• pengambilan kredensial LDAP;
• pencurian LAPS password dan BitLocker recovery key;
• pengambilan metadata Active Directory;
• Kerberoasting dan password spraying;
• penghapusan sebagian jejak dari log.
• Catatan deteksi: tidak ditemukan web shell atau C2 permanen. Perintah dijalankan ulang melalui rantai eksploitasi dan hasilnya dikirim melalui HTTPS. Integrity Checker Tool Ivanti tidak boleh diperlakukan sebagai satu-satunya bukti bahwa perangkat bersih.

Tindakan segera:

1. Patch atau rebuild semua appliance terdampak.
2. Jika ada dugaan kompromi, lakukan backup konfigurasi dan factory reset/rebuild sesuai prosedur Ivanti/CISA.
3. Rotasi kredensial domain, administrator, lokal, sertifikat, API key, dan kredensial license server.
4. Lakukan memory dan network forensics.
5. Periksa log firewall, NetFlow, LDAP/AD, autentikasi, dan koneksi lateral dari appliance.

P0/P1 — CVE-2026-96951 — Microsoft Windows Shell

• Dampak: command injection yang memungkinkan bypass security feature melalui jaringan.
• CWE: CWE-77.
• Severity: CVSS 8.8 High

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C

• Status eksploitasi: masuk CISA KEV pada 13 Oktober berdasarkan bukti eksploitasi aktif.
• Contoh versi terdampak:
• Windows 11 24H2 sebelum 10.0.26100.9711
• Windows 11 25H2 sebelum 10.0.26200.9711
• Beberapa cabang Windows 10/11 dan Windows Server lainnya juga terdampak.
• Catatan: detail kampanye dan initial access belum cukup dijelaskan dalam sumber primer yang ditinjau.

Tindakan:

• Terapkan pembaruan Microsoft yang sesuai.
• Verifikasi build setelah patch.
• Prioritaskan endpoint yang menerima file atau link dari internet dan endpoint berprivilege.
• Pantau eksekusi proses tidak lazim setelah pembaruan.
• Jangan menganggap risiko rendah hanya karena CVSS mencantumkan UI:R; status KEV menunjukkan eksploitasi nyata.

Patch penting non-KEV

Canonical menerbitkan:

• USN-8913-1, 12 Oktober: beberapa kerentanan libX11.
• USN-8912-1, 12 Oktober: beberapa kerentanan Perl DBI.
• Beberapa pembaruan kernel Ubuntu juga diterbitkan pada 9 Oktober.

Terapkan pembaruan sesuai rilis Ubuntu yang digunakan dan lakukan reboot bila pembaruan kernel atau komponen inti mengharuskannya.

Kampanye dan insiden terkonfirmasi

1. UTA0576 / Ivanti ICS — dikonfirmasi oleh Volexity dan diakui Ivanti serta CISA. Fokus deteksi harus menggunakan telemetri di luar appliance karena log lokal dapat dimanipulasi.
2. Aktor China-linked yang difasilitasi Integrity Technology Group — advisory AA26-281A dari FBI, CISA, NSA, dan mitra internasional mendeskripsikan:

• scanning otomatis dan botnet;
• XSS credential harvesting;
• password spraying Exchange/Microsoft 365;
• SoftEther VPN yang disamarkan sebagai persistence;
• pencurian email dan Active Directory melalui DCSync.

TTP disebut konsisten dengan Flax Typhoon, Ethereal Panda, dan Red Juliett, tetapi ini bukan klaim bahwa seluruh aktivitas berasal dari satu grup.

1. TFG London — Phase Eight, Hobbs, dan Whistles mengalami gangguan IT yang dilaporkan pada 13 Oktober. Belum ada atribusi, konfirmasi eksfiltrasi, atau bukti kompromi data pribadi. Statusnya masih insiden yang sedang diselidiki.

Dampak untuk organisasi Indonesia

• VPN dan perimeter: inventaris semua Ivanti ICS, termasuk perangkat virtual dan cloud. Pisahkan management plane dan kirim log ke sistem terpusat.
• Windows dan identity: percepat patch CVE-2026-96951; gunakan MFA tahan-phishing untuk administrator, Microsoft 365, Exchange, VPN, dan panel cloud.
• Website/API: gunakan reverse proxy/WAF, validasi input, rate limiting, dan jangan mengekspos panel admin langsung ke internet.
• Linux/cloud: terapkan USN terbaru, gunakan immutable/off-host logging, segmentasi LDAP/AD, least privilege, dan kontrol egress dari appliance edge.
• Monitoring: audit password spraying, mailbox forwarding, consent aplikasi, token/session, perubahan grup privileged, dan aktivitas DCSync.

Tindakan P0/P1/P2

P0 — 0–24 jam

• Patch atau rebuild semua Ivanti ICS terdampak.
• Perlakukan appliance yang tidak dapat dibuktikan bersih sebagai suspect.
• Batasi akses lateral.
• Rotasi semua kredensial yang dapat dijangkau appliance.
• Patch Windows yang terdampak CVE-2026-96951.
• Preserve evidence sebelum reset atau rebuild.

P1 — 24–72 jam

• Hunt log off-device untuk aktivitas sejak minimal 3 Oktober.
• Cari autentikasi LDAP abnormal, Kerberoasting, password spraying, akses LAPS/BitLocker, perubahan akun, dan koneksi outbound anomali.
• Tinjau Microsoft 365 sign-in risk, mailbox rules/forwarding, serta aktivitas DCSync atau replication yang tidak semestinya.

P2 — minggu ini

• Tetapkan SLA khusus untuk semua CVE di KEV.
• Uji prosedur restore dan recovery appliance.
• Sentralisasi audit log.
• Review exposure OWA, API, VPN, dan panel administrasi.
• Lakukan tabletop exercise untuk skenario kompromi identity.

Hal yang belum pasti

• CISA mengonfirmasi eksploitasi kedua CVE, tetapi skala korban dan seluruh infrastruktur pelaku belum dipublikasikan.
• Volexity mengamati UTA0576 pada investigasi tertentu; atribusi ini tidak boleh digeneralisasi ke seluruh serangan Ivanti.
• Teknik penyampaian dan kampanye aktif CVE-2026-96951 belum cukup terurai dalam sumber primer.
• Belum ada dasar primer yang cukup untuk menyatakan advisory Fortinet/Cisco yang ditemukan telah dieksploitasi aktif; statusnya tetap patch dan validasi versi, bukan KEV.

Sumber

• CISA — Adds Two Known Exploited Vulnerabilities ↗, 13 Oktober 2026
• CISA — Ivanti Connect Secure Exploited Vulnerability ↗, 13 Oktober 2026
• CVE Record — CVE-2026-96951 ↗, diperbarui 13 Oktober 2026
• CVE Record — CVE-2026-104935 ↗, diperbarui 13 Oktober 2026
• Ivanti Advisory — CVE-2026-104935 ↗, 13 Oktober 2026
• Volexity — UTA0576 Ivanti Zero-Day Chain ↗, 13 Oktober 2026
• CISA/FBI/NSA et al. — AA26-281A ↗, 8 Oktober 2026
• Ubuntu Security Notices ↗, USN-8913-1 dan USN-8912-1, 12 Oktober 2026

Status database

Laporan telah disimpan dan diimpor ke SQLite:

• Database: /opt/data/security-report/security_reports.db
• File laporan: /opt/data/cron/output/bcda1a1c463e_20261014_070010.txt
• Hasil import: imported=1
• Total reports: 37
• Total report runs: 64
• Findings: 332
• Vulnerabilities: 128
• Sources: 240

To stop or manage this job, send me a new message (e.g. "stop reminder Laporan Harian Global Security Intelligence").