Laporan Riset Security System Global — 2026-10-18

Periode pemantauan: 16–18 Oktober 2026, 07.00 WIB
Sumber: CISA KEV/advisories, vendor PSIRT, Microsoft MSRC, Google Chrome, NVD, dan CERT-In.

Ringkasan eksekutif

1. P0 — CVE-2026-102764 BeyondTrust Remote Support ditambahkan ke CISA KEV pada 16 Oktober dan sedang dieksploitasi untuk initial access, persistence, privilege escalation, serta lateral movement.
2. P0 — CVE-2025-61624 Fortinet juga ditambahkan ke KEV. Kerentanan path traversal pada CLI memungkinkan administrator terautentikasi menulis atau menghapus file arbitrer.
3. P0/P1 — CVE-2026-21589 Atlassian Data Center masih menjadi risiko aktif untuk deployment self-hosted karena dapat mengakses file tertentu tanpa autentikasi.
4. CVE-2026-96951 Windows Shell dieksploitasi in the wild. Serangan dapat menggunakan file khusus yang dikirim melalui email atau pesan instan untuk melewati Mark of the Web.
5. Tidak ditemukan kampanye baru pada 17 Oktober yang dapat dikonfirmasi secara memadai dari sumber primer. Prioritas tetap pada appliance remote-support, firewall/management plane, Atlassian self-hosted, Windows endpoint, dan aset web/API.

Kerentanan aktif dieksploitasi

P0 — CVE-2026-102764: BeyondTrust Remote Support

• Produk: BeyondTrust Remote Support/Bomgar self-hosted.
• Versi terdampak: 26.2.3 dan lebih lama.
• Jenis: Authentication bypass.
• Severity: CVSS 3.1 9.8 Critical menurut NVD.
• Status: Aktif dieksploitasi; masuk CISA KEV pada 16 Oktober.
• Dampak: Initial access, persistence, privilege escalation, dan lateral movement.
• Tindakan:
• Terapkan patch BT26-05-RS.
• Versi lebih lama dari 24.3.1 perlu upgrade terlebih dahulu.
• Batasi akses eksternal dan administrative interface.
• Isolasi appliance yang dicurigai.
• Simpan snapshot/image, appliance syslog, session event, WAF, reverse-proxy, dan firewall log.
• Rotasi semua kredensial yang tersimpan atau pernah diinjeksi.
• Cabut sesi support aktif dan periksa pendaftaran MFA baru.

Sumber: CISA — BeyondTrust, 16 Oktober 2026 ↗ · NVD ↗

P0 — CVE-2025-61624: Fortinet

• Produk: FortiOS, FortiPAM, FortiProxy, FortiSwitchManager.
• Jenis: Path traversal pada command-line interpreter.
• Prasyarat: Penyerang memiliki profil administrator dengan hak minimal read-write.
• Dampak: Menulis atau menghapus file arbitrer.
• Severity vendor: CVSS 3.1 6.0 Medium.
• Status: Fortinet menyatakan Known Exploited: Yes; masuk CISA KEV pada 16 Oktober.
• Perbaikan utama:
• FortiOS 7.6.5+ atau 7.4.10+.
• FortiProxy 7.6.5+ atau 7.4.12+.
• FortiPAM 1.7.1+.
• FortiSwitchManager 7.2.8 atau 7.0.7+.
• Branch lama perlu dimigrasikan.
• Tindakan tambahan: Audit akun admin, sesi CLI, perubahan file, dan integritas konfigurasi; rotasi kredensial apabila terdapat indikasi akses tidak sah.

Sumber: CISA, 16 Oktober 2026 ↗ · Fortinet PSIRT FG-IR-26-122 ↗ · NVD ↗

P0/P1 — CVE-2026-21589: Atlassian Data Center

• Produk: Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd Data Center, Crucible, dan Fisheye.
• Jenis: Files/directories accessible to external parties.
• Status: Masuk CISA KEV pada 15 Oktober berdasarkan bukti eksploitasi aktif.
• Dampak: Akses tidak terautentikasi ke file tertentu di root aplikasi web.
• Cakupan: Fokus pada deployment Data Center/self-hosted yang terdampak. Jangan menyamakan risiko deployment Cloud tanpa konfirmasi vendor.
• Tindakan:
• Cocokkan build lokal dengan advisory Atlassian dan patch ke fixed build.
• Blokir akses publik sementara jika patch belum tersedia.
• Audit access log dan request terhadap file sensitif.
• Rotasi secret atau kredensial yang mungkin berada di file aplikasi.

Catatan: Detail fixed build dan skor severity perlu diverifikasi terhadap advisory Atlassian yang sesuai dengan produk dan versi aktual.

Sumber: CISA, 15 Oktober 2026 ↗ · NVD ↗

Windows dan browser

CVE-2026-96951 — Windows Shell

• Severity: CVSS 3.1 8.8 High.
• Status: Dieksploitasi in the wild dan masuk CISA KEV.
• Mode serangan: File khusus melalui email atau instant messaging; korban tetap perlu berinteraksi dengan file tersebut.
• Dampak: Security-feature bypass/command injection dan potensi eksekusi perintah.
• Tindakan:
• Terapkan seluruh October 2026 Microsoft security updates.
• Perketat filtering attachment dan file dari internet.
• Pastikan Defender, SmartScreen, Mark of the Web, dan endpoint logging aktif.
• Hunt endpoint yang membuka file dari sumber eksternal sebelum patch.

Sumber: Microsoft MSRC ↗ · CERT-In, 14 Oktober 2026 ↗

Google Chrome

Google merilis:

• Windows/Mac: 154.0.8037.97/.98
• Linux: 154.0.8037.97
• Total: 11 security fixes.
• Temuan penting:
• CVE-2026-103628 — out-of-bounds write pada WebGL, Critical.
• CVE-2026-103625 — type confusion pada V8, High.
• Beberapa use-after-free dan memory corruption pada FedCM, SVG, MediaStream, WebRTC, dan Skia.

Belum ada bukti bahwa daftar Chrome tersebut sedang dieksploitasi. Namun, update tetap perlu dipaksakan melalui fleet management karena sebagian detail bug masih dibatasi.

Sumber: Google Chrome Stable Channel ↗ · CERT-In CIVN-2026-0490 ↗

Kampanye dan threat intelligence

• Terkonfirmasi: Eksploitasi BeyondTrust digunakan untuk akses awal, persistence, privilege escalation, dan lateral movement.
• Terkonfirmasi: CVE-2026-96951 sedang dieksploitasi in the wild.
• Belum terkonfirmasi: Tidak ada atribusi aktor atau ransomware spesifik yang cukup kuat pada sumber primer yang diperiksa.
• Belum terkonfirmasi: Tidak ditemukan kampanye baru 24–48 jam terakhir yang dapat dipastikan melalui bukti teknis primer.
• Klaim yang hanya muncul pada berita sekunder tidak diperlakukan sebagai fakta tanpa IOC, advisory vendor, atau laporan investigasi yang dapat diverifikasi.

Dampak untuk organisasi Indonesia

• Linux/server: Audit management appliance, reverse proxy, remote-support, panel admin, dan firewall; kompromi appliance dapat menjadi pijakan ke server Linux internal.
• Windows/endpoint: Prioritaskan CVE-2026-96951, attachment filtering, EDR, dan threat hunting.
• Cloud/identity: Walaupun BeyondTrust SaaS disebut telah dipatch, token, sesi support, secret, dan akun administrator tetap perlu direview setelah exposure.
• Website/API/WordPress: Inventaris plugin dan endpoint publik, nonaktifkan komponen usang, dan gunakan WAF hanya sebagai mitigasi sementara.
• Jaringan: Jangan membuka interface administrasi Fortinet, Atlassian, atau remote-support langsung ke internet tanpa kebutuhan kuat. Gunakan VPN, jump host, allowlist, PAM, dan central logging.
• Instansi dan penyedia layanan: Dokumentasikan exposure, patch window, hasil verifikasi, dan bukti pemulihan.

Tindakan P0/P1/P2

P0 — sekarang hingga 24 jam

1. Inventaris dan patch seluruh BeyondTrust Remote Support self-hosted.
2. Isolasi appliance yang dicurigai dan ambil bukti forensik sebelum rebuild.
3. Patch/migrasikan Fortinet affected branches.
4. Audit admin sessions, perubahan file, dan konfigurasi firewall.
5. Patch Atlassian Data Center yang terpapar internet.
6. Patch Windows untuk CVE-2026-96951.
7. Revoke sesi/token dan rotasi kredensial pada sistem yang berpotensi terdampak.

P1 — 24–72 jam

1. Pastikan Chrome stable terbaru pada Windows, Linux, dan macOS.
2. Hunt login admin anomali, sesi remote-support tidak dikenal, perubahan MFA, dan file baru pada appliance.
3. Validasi forwarding log ke SIEM.
4. Periksa backup restore dan segmentasi management network.
5. Audit exposure internet seluruh panel administrasi.

P2 — dalam 7 hari

1. Terapkan JIT/PAM, akun admin individual, dan phishing-resistant MFA.
2. Uji tabletop incident response.
3. Ukur time-to-patch untuk seluruh KEV.
4. Tinjau lifecycle perangkat, plugin WordPress, dependency, dan SBOM.
5. Pastikan backup konfigurasi immutable dan prosedur rebuild terdokumentasi.

Hal yang belum pasti

1. Belum ada bukti publik memadai untuk mengaitkan tiga KEV terbaru dengan aktor atau ransomware tertentu.
2. Detail fixed build dan severity CVE-2026-21589 perlu dicocokkan dengan produk Atlassian yang benar-benar digunakan.
3. Banyaknya CVE baru di NVD, khususnya plugin WordPress, tidak berarti semuanya relevan atau sedang dieksploitasi.
4. Tidak ditemukannya kampanye baru dalam sumber yang dipantau bukan bukti bahwa tidak ada insiden yang belum dipublikasikan.

Status database

Laporan telah disimpan dan diimpor ke SQLite:

• Database: /opt/data/security-report/security_reports.db
• File ditemukan: 71
• Laporan baru diimpor: 1
• Total laporan: 41
• Total finding: 376
• Total vulnerability: 136
• Total source: 269
• Verifikasi laporan terbaru: 2026-10-18, diikuti 2026-10-17 dan 2026-10-16.

To stop or manage this job, send me a new message (e.g. "stop reminder Laporan Harian Global Security Intelligence").