Laporan Riset Security System Global — 2026-10-16

Waktu pengamatan: 15–16 Oktober 2026, 07.00 WIB
Status: Terdapat ancaman prioritas tinggi yang memerlukan tindakan segera.

Ringkasan eksekutif

1. P0 — Cisco Secure Email Gateway: CVE-2026-76519 sedang dieksploitasi. Penyerang tanpa autentikasi dapat menulis file dan menjalankan perintah sebagai root melalui lampiran email berbahaya.
2. P0 — Palo Alto PAN-OS: CVE-2026-0322 merupakan RCE pada management interface. Eksploitasi terbatas telah diamati dan sudah masuk CISA KEV.
3. P0 — AhsayCBS: CVE-2026-105133 dan CVE-2026-105134 dapat dirangkai untuk bypass autentikasi dan remote code execution. Huntress mengamati web shell serta XMRig pada host yang diserang.
4. Risiko langsung untuk Indonesia: Android RAT Hirudo mengganti aplikasi perbankan asli dengan salinan yang telah dimodifikasi; delapan aplikasi bank Indonesia dari tujuh bank teridentifikasi sebagai target penggantian.
5. Linux dan Windows: Kampanye spionase menargetkan infrastruktur Linux pemerintah dengan web shell dan malware lintas-platform. CikaBika Bot RAT menggunakan Discord sebagai C2.

Kerentanan baru/aktif dieksploitasi

1. CVE-2026-76519 — Cisco Secure Email Gateway

• Kondisi terdampak: File Reputation pada AMP aktif dan Content Scanner Tools lebih lama dari 25.3.0.5525.
• Dampak: Relative path traversal/arbitrary file write yang dapat berujung pada eksekusi perintah dengan hak root melalui attachment email.
• Eksploitasi: Cisco PSIRT menyatakan mengetahui eksploitasi aktif pada Oktober 2026.
• Severity: CVSS 9.8 dilaporkan oleh sumber industri; advisory Cisco menegaskan dampak root-level.
• Perbaikan:
• Content Scanner Tools 25.3.0.5525+; atau
• AsyncOS 15.5.5-014 / 16.5.0-780.
• Lini 16.0 perlu migrasi ke rilis yang diperbaiki.
• KEV: Ditambahkan 14 Oktober; tenggat FCEB 17 Oktober; forensics triage diperlukan.

Sumber: Cisco advisory ↗, CISA ↗, NVD ↗.

2. CVE-2026-0322 — Palo Alto PAN-OS

• Produk: PA-Series, VM-Series, dan Panorama virtual/M-Series.
• Dampak: Penyerang terautentikasi dengan akses jaringan ke management interface dapat menjalankan kode arbitrary sebagai root.
• Eksploitasi: Palo Alto menyatakan eksploitasi “very limited” telah diamati.
• Severity: High severity; skor CVSS belum tercantum pada advisory vendor yang ditinjau.
• Perbaikan: Upgrade ke rilis fixed sesuai branch PAN-OS. Batasi management interface hanya dari IP internal tepercaya atau jump host.
• KEV: Ditambahkan 14 Oktober; tenggat 17 Oktober 2026.
• Catatan: Cloud NGFW dan Prisma Access tidak terdampak menurut vendor.

Sumber: Palo Alto advisory ↗, CISA KEV ↗, CVE record ↗.

3. CVE-2026-105133 dan CVE-2026-105134 — AhsayCBS

• Dampak: Authentication bypass yang dapat dirangkai dengan command injection pada replication receiver untuk memperoleh RCE.
• Eksploitasi: Huntress mengamati serangan sejak 7 Oktober terhadap host internet-facing, termasuk penurunan web shell dan XMRig.
• Versi: NVD mencantumkan AhsayCBS 10.3.0–10.3.2 sebagai terdampak untuk CVE-2026-105134; validasikan seluruh lini terhadap advisory dan hotfix vendor.
• Perbaikan:
• AhsayCBS v10: hotfix 10.3.4.45.
• AhsayCBS v9: hotfix 9.15.2.70.
• Versi v7/v8 perlu mengikuti jalur upgrade vendor terlebih dahulu.
• KEV: Ditambahkan 14 Oktober; tenggat 17 Oktober.

Sumber: CISA alert ↗, NVD ↗, Huntress ↗, Horizon3 ↗.

Perkembangan aktif: Ivanti Connect Secure

CISA pada 13 Oktober memperingatkan CVE-2026-104935, authentication bypass yang dieksploitasi untuk pencurian kredensial dan eksfiltrasi data. Volexity melaporkan chain yang dapat mencapai unauthenticated root RCE oleh aktor UTA0576.

Jika belum ditangani:

• lakukan upgrade atau rebuild sesuai panduan Ivanti;
• reset kredensial, API key, dan sertifikat;
• lakukan network dan memory forensics;
• jangan mengandalkan Integrity Checker saja.

Sumber: CISA ↗, Volexity ↗.

Kampanye malware dan serangan terkonfirmasi

Hirudo Android banking RAT

ThreatFabric mengidentifikasi Hirudo sebagai Android RAT yang:

• dikemas dalam aplikasi shopping, video, atau short-drama;
• meminta instalasi “update” palsu;
• memasang payload terpisah dengan Accessibility dan notification access;
• mencuri kredensial, SMS, layar, kamera, serta kendali perangkat;
• mengganti aplikasi perbankan asli dengan salinan yang telah dipatch.

Delapan aplikasi bank Indonesia dari tujuh bank memiliki replacement khusus. Hirudo dapat memalsukan pemeriksaan signature, Accessibility, screen capture, dan Play Integrity pada aplikasi yang telah diganti.

Sumber: ThreatFabric ↗.

CikaBika Bot

Darktrace melaporkan kampanye dengan:

• lure dokumen/LNK;
• loader Nim;
• DLL berbasis Rust;
• PowerShell dan DLL search-order hijacking;
• Discord sebagai C2;
• Ngrok untuk eksfiltrasi.

Kapabilitasnya mencakup reconnaissance, eksekusi perintah, screenshot, transfer file, dan surveillance.

Sumber: Darktrace ↗.

Kampanye Linux terhadap infrastruktur pemerintah

Unit 42 melaporkan cluster CL-UNK-1211 yang menggunakan:

• web shell PHP dan shell;
• SysGoRAT lintas Windows/Linux;
• dumping database dan mailbox;
• pencurian kredensial;
• manipulasi log dan upaya mematikan proteksi endpoint.

Klaim penggunaan AI merupakan inferensi dari artefak kode dan komentar, bukan bukti bahwa AI secara mandiri melakukan serangan.

Sumber: Unit 42 ↗.

Microsoft

Rilis keamanan Oktober 2026 mencakup 1.413 CVE menurut MSRC:

• Windows: 1.102;
• Office: 134;
• SharePoint Server: 36;
• SQL Server: 22;
• Exchange Server: 7.

Angka ini tidak berarti seluruh CVE telah dieksploitasi. Prioritaskan berdasarkan exposure, severity, dan keberadaan aset internet-facing.

Sumber: MSRC October 2026 release notes ↗.

Tindakan P0/P1/P2

P0 — Hari ini

• Patch/upgrade Cisco Secure Email Gateway, PAN-OS/Panorama, AhsayCBS, dan Ivanti Connect Secure.
• Batasi management interface, VPN, email gateway, serta server backup dari internet.
• Preserve log, memory, dan konfigurasi sebelum melakukan pembersihan.
• Periksa compromise sebelum atau bersamaan dengan patching.
• Untuk Ahsay, cari web shell, miner, akun baru, cron/task mencurigakan, dan koneksi keluar.

P1 — Dalam 24 jam

• Hunt perubahan konfigurasi dan login administratif pada PAN-OS.
• Periksa file anomali dan aktivitas root pada Cisco SEG.
• Periksa proses PowerShell, DLL sideloading, Discord, dan Ngrok pada endpoint Windows.
• Terapkan egress control untuk Discord/Ngrok pada endpoint yang tidak membutuhkannya.
• Reset kredensial, token, dan sertifikat setelah containment.

P2 — Minggu ini

• Terapkan Android hanya dari toko resmi atau MDM.
• Blokir instalasi APK yang tidak dikelola.
• Audit Accessibility dan notification access.
• Bandingkan sertifikat aplikasi bank dengan baseline resmi.
• Pengguna terdampak perlu menghapus dropper, memasang ulang aplikasi bank dari sumber resmi, lalu mengganti PIN dan kredensial dari perangkat bersih.
• Bank perlu menjadikan Play Integrity dan sinyal lokal sebagai input risk-scoring server-side, bukan satu-satunya kontrol.

Hal yang belum pasti

• Cisco dan Palo Alto belum mempublikasikan aktor, skala korban, atau tujuan intrusi secara lengkap.
• CVSS resmi CVE-2026-0322 belum tercantum pada advisory vendor yang ditinjau.
• Nama delapan aplikasi bank Indonesia yang menjadi target replacement Hirudo belum dipublikasikan dalam ringkasan ThreatFabric yang tersedia.
• Belum ada bukti dari sumber yang ditinjau bahwa organisasi Indonesia tertentu telah terkena serangan ini.

Prioritas untuk organisasi Indonesia

Perimeter VPN, firewall management, gateway email, dan server backup internet-facing harus diperlakukan sebagai aset dengan risiko tertinggi. Gunakan CISA KEV sebagai input prioritas meskipun kewajiban BOD CISA hanya mengikat lembaga pemerintah federal Amerika Serikat.

Lakukan koordinasi dengan CSIRT internal, vendor, BSSN, dan pihak terkait. Jangan menghapus artefak sebelum bukti forensik diperoleh.

---

Database: laporan telah disimpan dan diimpor ke /opt/data/security-report/security_reports.db.

Hasil verifikasi:

• files_found=68
• imported=1
• reports=39
• findings=345
• vulnerabilities=132
• sources=255
• Laporan terbaru: Laporan Riset Security System Global — 2026-10-16
• Temuan laporan terbaru: 4
• Sumber laporan terbaru: 15

To stop or manage this job, send me a new message (e.g. "stop reminder Laporan Harian Global Security Intelligence").