Laporan Riset Security System Global — 2026-10-25

Cakupan: 24 Oktober 2026 pukul 07.00–25 Oktober 2026 pukul 07.00 WIB. Fokus pada perkembangan baru; isu PHP2Shell dari laporan sebelumnya disebut hanya untuk pembaruan yang relevan.

Ringkasan eksekutif

1. P0 — AWS Multi Model Server (MMS): AWS mengungkap CVE-2026-115812 dan CVE-2026-115813 pada semua versi MMS ≤1.1.11. Proyek sudah *end-of-life* dan tidak akan menerima patch; AWS menyarankan migrasi. Antarmuka manajemen yang tidak memerlukan autentikasi membuat layanan yang terjangkau jaringan lebih berisiko. citeturn3view1
2. P1 — AWS MCP Server: CVE-2026-115845 berkaitan dengan validasi tidak lengkap pada sandbox run_script. AWS menyatakan telah memperbaiki layanan di sisi server dan pelanggan tidak perlu melakukan tindakan. citeturn3view0
3. P0 berlanjut — PHP2Shell: AWS memperbarui aturan AWS WAF untuk kerentanan PHP terkait, tetapi menegaskan patch PHP tetap perbaikan lengkap. Upaya eksploitasi atau pemblokiran tidak dengan sendirinya membuktikan kompromi berhasil. citeturn2view1turn2view2
4. Tidak ditemukan kampanye malware, ransomware, phishing, supply-chain, cloud, atau identity baru yang dapat dikonfirmasi dengan bukti primer kuat dalam periode ini. Ini bukan bukti bahwa aktivitas lain tidak terjadi.

Kerentanan baru/aktif dalam 24–48 jam terakhir

CVE-2026-115812 dan CVE-2026-115813 — AWS Multi Model Server

• Produk/versi: AWS Multi Model Server (MMS), semua versi ≤1.1.11. Proyek telah *end-of-life*.
• Dampak: CVE-2026-115812 dapat menyebabkan arsip model menulis file di luar direktori ekstraksi, dengan potensi menjalankan kode sesuai hak proses MMS. CVE-2026-115813 berkaitan dengan SSRF melalui antarmuka manajemen.
• Severity/CVSS: AWS mengklasifikasikan bulletin sebagai *Important*. Skor CVSS tidak dicantumkan dalam advisori yang ditinjau.
• Eksploitasi/KEV: Advisori AWS tidak menyatakan eksploitasi aktif. Status CISA KEV belum terverifikasi dalam sumber yang ditinjau.
• Tindakan: Tidak ada versi perbaikan. AWS menyarankan menghentikan penggunaan dan bermigrasi. Sambil menyiapkan migrasi, batasi akses ke antarmuka manajemen dan jalur unduh model. citeturn3view1

CVE-2026-115845 — AWS MCP Server run_script

• Dampak: Validasi input yang tidak lengkap berpotensi memungkinkan pengguna jarak jauh terautentikasi menjalankan kode di lingkungan sandbox sesi miliknya sendiri.
• Severity/CVSS: AWS menandai bulletin sebagai *Important*; skor CVSS tidak dicantumkan.
• Eksploitasi/KEV: Advisori tidak menyatakan eksploitasi aktif; status CISA KEV belum terverifikasi.
• Remediasi: AWS menyatakan perbaikan sudah diterapkan di sisi layanan dan tidak diperlukan tindakan pelanggan. citeturn3view0

Pembaruan — CVE-2026-109618 dan CVE-2026-109619 (PHP2Shell)

• PHP menggolongkan kedua kerentanan sebagai *critical unauthenticated RCE* dengan CVSS v4.0 9.2. Versi upstream yang diperbaiki: 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Untuk versi distro atau cabang LTS, periksa ketersediaan *backport* resmi.
• Pada 23 Oktober, AWS memperbarui AWS WAF PHP managed rule group ke versi 2.4 sebagai default, termasuk aturan untuk CVE-2026-109618. AWS menyebut perlindungan WAF sebagai mitigasi, bukan pengganti pembaruan PHP.
• Eksploitasi: Advisori PHP menyebut demo eksploit untuk mod_php, dan AWS melaporkan telemetri upaya eksploitasi sebelum pengungkapan. Informasi itu tidak membuktikan kompromi berhasil pada target tertentu. Status KEV tidak terverifikasi dalam sumber primer yang diperiksa. citeturn2view1turn2view2

Kampanye terkonfirmasi

Tidak ditemukan kampanye baru dengan bukti primer memadai dalam periode laporan. Upaya eksploitasi terhadap PHP2Shell tetap perlu diperhatikan, tetapi laporan ini tidak menyimpulkan adanya kompromi massal yang berhasil.

Dampak operasional

• Linux/Windows: Inventaris runtime PHP dan periksa *backport* distro; restart worker setelah pembaruan. Cari paket, image, atau fork MMS yang masih digunakan.
• Cloud/AI: Identifikasi deployment MMS di VM, container, dan layanan inference. Pastikan antarmuka manajemen tidak terbuka ke jaringan tak tepercaya. Perbaikan AWS MCP Server berlaku di sisi layanan.
• Website/API: Prioritaskan patch PHP2Shell. Aturan WAF hanya lapisan mitigasi sementara.
• Endpoint: Tidak ada advisori endpoint baru berprioritas tinggi yang terkonfirmasi dalam periode ini; lanjutkan patching dan pemantauan EDR.
• Jaringan: Tinjau segmentasi serta akses ke port manajemen MMS, egress jaringan, dan log request.
• Organisasi Indonesia: Minta penyedia hosting mengonfirmasi versi PHP atau *backport* yang terpasang. Layanan MMS yang sudah EOL sebaiknya dimigrasikan, bukan hanya dilindungi firewall.

Tindakan P0/P1/P2

P0 — sekarang hingga 24 jam

1. Inventarisasi MMS ≤1.1.11. Batasi akses antarmuka manajemen dan mulai penghentian atau migrasi karena tidak tersedia patch.
2. Pastikan PHP yang melayani request web sudah diperbarui ke versi perbaikan atau *backport* resmi; restart worker/container dan verifikasi runtime aktif.
3. Terapkan session.upload_progress.enabled=0 untuk mitigasi vektor CVE-2026-115560 sesuai advisori PHP. Jika patch belum dapat diterapkan, gunakan WAF dan pembatasan paparan sebagai kontrol sementara—bukan pengganti patch.

P1 — 24–72 jam

1. Audit image container, fork, dan pipeline model-serving yang mungkin membawa MMS; tinjau akses antarmuka manajemen dan penggunaan URL eksternal untuk unduh model.
2. Tinjau log akses MMS, egress DNS/HTTP, file di luar direktori model yang diharapkan, dan proses anomali. Investigasi temuan sebagai indikasi yang perlu ditindaklanjuti, bukan bukti kompromi otomatis.
3. Pastikan penggunaan AWS MCP Server merujuk pada layanan managed yang sudah diperbaiki dan pantau pemberitahuan provider.

P2 — dalam 7 hari

1. Migrasikan seluruh deployment MMS EOL ke solusi yang masih didukung; validasi kontrol egress dan penanganan arsip.
2. Tambahkan pelacakan patch dan *backport* per image, serta verifikasi berkala aturan WAF yang benar-benar aktif.

Hal yang belum pasti

• Skor CVSS dan status CISA KEV untuk tiga CVE AWS di atas tidak tercantum atau belum terverifikasi dari sumber yang ditinjau.
• Tidak ditemukan bukti primer dalam pemeriksaan ini yang mengonfirmasi eksploitasi sukses terhadap MMS atau kompromi PHP2Shell dalam periode laporan.
• Temuan negatif kampanye terbatas pada sumber publik yang diperiksa dan tidak membuktikan ketiadaan ancaman.

Sumber bertanggal

• AWS Security Bulletin 2026-148-AWS, CVE-2026-115812 dan CVE-2026-115813 — 23 Oktober 2026. citeturn3view1
• AWS Security Bulletin 2026-149-AWS, CVE-2026-115845 — 23 Oktober 2026. citeturn3view0
• AWS Security Blog, pembaruan AWS WAF PHP application managed rule group — 23 Oktober 2026. citeturn2view1
• PHP.net, advisori PHP2Shell dan session upload progress — halaman advisori yang diperiksa, terkait pengungkapan 21–23 Oktober 2026. citeturn2view2

Impor SQLite berhasil dan terverifikasi: 1 laporan baru diimpor. Jumlah laporan bertambah dari 47 menjadi 48; database mencatat 408 temuan, 147 kerentanan, 291 sumber, dan 85 proses laporan.

To stop or manage this job, send me a new message (e.g. "stop reminder Laporan Harian Global Security Intelligence").