Laporan Riset Security System Global — 2026-10-27

Cakupan: 26 Oktober 2026 pukul 07.00–27 Oktober 2026 pukul 07.00 WIB. Dibandingkan dengan laporan 26 Oktober; isu terdahulu hanya diangkat bila masih membutuhkan tindakan atau ada perkembangan.

Ringkasan eksekutif

1. CVE-2026-115418: AWS melaporkan SQL injection pada experimental AWS CDK module @aws-cdk/aws-redshift-alpha. AWS memberi kategori *Important*; perbaikannya ada di versi 2.274.0. Ini bukan pernyataan bahwa Amazon Redshift secara umum rentan. citeturn0search0
2. PHP2Shell: percobaan eksploitasi tercatat sebelum pengungkapan publik. PHP merilis versi perbaikan pada 21 Oktober; kedua isu disebut *critical* dengan CVSS v4.0 9.2. Patch dan investigasi host yang terekspos tetap mendesak. citeturn1search1turn1search0
3. CVE-2026-114625, Arista VeloCloud Orchestrator: advisory Arista mencakup versi terdampak dan versi perbaikan. Check Point melaporkan eksploitasi aktif, tetapi klaim itu perlu dibedakan dari konfirmasi eksploitasi oleh vendor atau CISA KEV. citeturn1search9turn1search0
4. Check Point melaporkan insiden supply-chain LiteLLM, penyalahgunaan kunci UpdraftCentral, intrusi pada penyedia cloud Jepang, dan kampanye yang menargetkan perangkat Fortinet/Palo Alto. Klaim kampanye ini bersumber dari intelijen vendor dan perlu divalidasi terhadap pemberitahuan primer serta kondisi tiap organisasi. citeturn1search0
5. Status KEV untuk CVE yang dibahas tidak berhasil diverifikasi langsung dalam pemeriksaan ini. Tidak ada klaim bahwa daftar KEV tidak berubah.

Kerentanan baru atau aktif dieksploitasi

CVE-2026-115418 — AWS CDK Redshift alpha module

• Produk terdampak: experimental AWS CDK module @aws-cdk/aws-redshift-alpha, yang menyediakan constructs untuk mengelola user, tabel, dan privilege Amazon Redshift.
• Dampak: SQL injection. Menurut AWS, eksploitasi memerlukan kemampuan mengendalikan nilai properti construct; ini bukan kerentanan umum pada layanan Redshift.
• Severity/CVSS: AWS menetapkan kategori *Important*; bulletin tidak mencantumkan skor CVSS.
• Eksploitasi/KEV: bulletin yang ditinjau tidak menyatakan eksploitasi aktif; status KEV belum terkonfirmasi.
• Tindakan: periksa dependensi dan build; AWS mencantumkan versi 2.274.0 sebagai versi perbaikan. Ikuti mitigasi bulletin, termasuk penggunaan nilai terpercaya dan pemeriksaan grants ke PUBLIC. citeturn0search0

CVE-2026-109618 / CVE-2026-109619 — PHP2Shell

• Produk terdampak: branch PHP yang tercakup dalam advisory PHP. Rilis perbaikan 21 Oktober: PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12; periksa juga backport resmi distro.
• Severity/CVSS: PHP menyebut kedua isu *critical*, CVSS v4.0 9.2.
• Eksploitasi: Amazon Threat Intelligence melaporkan percobaan eksploitasi pada 17 Oktober—sebelum pengungkapan publik 21 Oktober—dan aktivitas setelah disclosure. Ini menunjukkan aktivitas yang teramati, bukan bukti bahwa setiap sistem yang diserang berhasil ditembus.
• KEV: belum terkonfirmasi dalam pemeriksaan ini.
• Tindakan: pasang rilis tetap/backport resmi. Jika host terekspos dan belum dipatch, tinjau log, proses web, file yang berubah, dan koneksi keluar sejak 17 Oktober. AWS menegaskan bahwa WAF hanya mitigasi sementara, bukan pengganti patch. citeturn1search1turn1search3turn1search0

CVE-2026-114625 — Arista VeloCloud Orchestrator

• Produk/versi: Arista mencantumkan rentang terdampak 5.2.0–<5.2.3.18, 6.1.0–<6.1.3.10, dan 6.4.0–<6.4.2.12.
• Dampak: pengguna terautentikasi dapat memperoleh privilege operator.
• Severity/CVSS: CVE Record mencatat CVSS 3.1 9.9 dan CVSS 4.0 9.4.
• Eksploitasi/KEV: Check Point melaporkan eksploitasi aktif; advisory Arista menjelaskan kerentanan dan rentang versi. Status KEV belum dikonfirmasi. citeturn1search9turn0search4turn1search0
• Tindakan: inventaris deployment on-premises, cocokkan versi ke advisory Arista, batasi akses manajemen, lalu terapkan versi perbaikan yang ditentukan vendor.

Kampanye dan insiden yang dilaporkan

• LiteLLM supply-chain: Check Point melaporkan paket/image versi 1.107.0 yang terkompromi dan dirancang mencuri kredensial cloud serta rahasia layanan AI; laporan itu menyebut konfirmasi LiteLLM pada 21 Oktober. Periksa dependensi dan image, lalu rotasi rahasia yang mungkin terpapar bila versi tersebut digunakan. citeturn1search0
• UpdraftCentral/WordPress: Check Point melaporkan kunci manajemen yang dicuri disalahgunakan untuk memasang backdoor selama kampanye 18–19 Oktober. Audit kunci, akun administrator, plugin, perubahan file, dan koneksi keluar; konfirmasikan cakupan melalui pemberitahuan vendor. citeturn1search0
• Onamae Desktop Cloud, Jepang: Check Point melaporkan intrusi dan malware pada server pelanggan, dengan potensi dampak lebih dari 26.000 server. Pelanggan perlu merujuk pemberitahuan resmi penyedia untuk memastikan dampak pada akun masing-masing. citeturn1search0
• Fortinet/Palo Alto dan kampanye k0t: Check Point melaporkan penyalahgunaan kerentanan dan kredensial lemah untuk akses persisten serta pencurian informasi. Angka paparan kredensial yang disebut peneliti bukan ukuran kompromi di organisasi tertentu; validasi melalui advisori vendor dan telemetri internal. citeturn1search0
• Ransomware: Check Point melaporkan afiliasi INC dan The Gentlemen menargetkan 62 organisasi melalui sistem akses jarak jauh dan kredensial terkompromi. Ini klaim intelijen vendor, bukan ukuran prevalensi independen. citeturn1search0

Dampak operasional

• Linux/Windows: validasi versi PHP aktual di host dan container, bukan hanya versi pada manifest. Periksa proses anak web server, file baru/berubah, serta koneksi keluar.
• Cloud/AI: cari penggunaan @aws-cdk/aws-redshift-alpha; periksa image dan dependensi LiteLLM serta rahasia yang dapat dijangkau workload.
• Website/API: prioritaskan patch PHP. Untuk host yang terpapar, telusuri log dan artefak mencurigakan sejak 17 Oktober.
• Endpoint: pastikan EDR berjalan dan berfungsi; rotasi token atau rahasia jika bukti menunjukkan kemungkinan paparan.
• Jaringan: batasi panel VPN, firewall, dan orchestrator ke jalur administrasi tepercaya; tinjau login, perubahan konfigurasi, serta egress yang tidak biasa.
• Organisasi Indonesia: minta penyedia hosting mengonfirmasi versi PHP/backport, lingkup dampak, dan waktu remediasi. Untuk WordPress, audit akun administrator, kunci koneksi, plugin, dan integritas file.

Tindakan P0/P1/P2

P0 — segera

1. Patch PHP2Shell pada layanan yang terpapar; bila belum bisa, kurangi paparan dan gunakan mitigasi sementara yang kompatibel. WAF bukan pengganti patch.
2. Jika menggunakan LiteLLM 1.107.0 yang dilaporkan terdampak, isolasi atau rollback ke build tepercaya, rotasi rahasia yang dapat dijangkau, dan periksa penggunaan token.
3. Cari @aws-cdk/aws-redshift-alpha di dependensi/build dan ikuti bulletin AWS; versi perbaikan yang disebut adalah 2.274.0.

P1 — 24 jam

1. Investigasi host PHP yang rentan sejak 17 Oktober: log HTTP, proses, file web, koneksi keluar, autentikasi, dan indikasi pergerakan lateral.
2. Periksa deployment Arista on-premises terhadap rentang versi terdampak di advisory; batasi akses panel manajemen selama penilaian.
3. Audit WordPress/UpdraftCentral: tinjau dan rotasi kunci yang relevan, periksa file serta akun administrator, dan pulihkan dari backup tepercaya bila ditemukan kompromi.

P2 — 7 hari

1. Cocokkan inventaris SBOM, runtime, dan image container dengan advisori vendor; lakukan pemeriksaan KEV secara langsung.
2. Perkuat least privilege untuk rahasia AI/cloud, segmentasi jaringan manajemen, MFA tahan phishing, dan uji backup offline.
3. Catat bukti patch, hasil pemeriksaan, pemilik tindakan, dan konfirmasi penyedia hosting.

Hal yang belum pasti

• AWS menetapkan kategori *Important* untuk CVE-2026-115418, tetapi tidak mencantumkan CVSS di bulletin yang ditinjau.
• Status KEV untuk CVE di atas belum diverifikasi langsung dari katalog.
• Laporan kampanye Check Point adalah intelijen vendor; beberapa klaim dan angka belum dikonfirmasi melalui advisori primer pihak terdampak.
• Percobaan eksploitasi yang teramati tidak membuktikan kompromi pada setiap target.

Sumber bertanggal

• AWS Security Bulletin 2026-151-AWS, CVE-2026-115418, 26 Oktober 2026. citeturn0search0
• PHP.net, rilis PHP 8.2.35/8.3.36/8.4.27/8.5.12, 21 Oktober 2026. citeturn1search0
• Amazon Threat Intelligence, laporan aktivitas PHP2Shell sebelum pengungkapan publik, 21 Oktober 2026. citeturn1search1
• AWS Security Blog, panduan mitigasi WAF PHP2Shell, 21 Oktober 2026. citeturn1search3
• Arista Security Advisory 0199 untuk CVE-2026-114625, 22 Oktober 2026; CVE Record diperbarui 22 Oktober 2026. citeturn1search9turn0search4
• Check Point Research, *26th October – Threat Intelligence Report*, 26 Oktober 2026. citeturn1search0

Kesimpulan: fokus utama adalah patch dan investigasi PHP2Shell, pemeriksaan penggunaan AWS CDK Redshift alpha module, serta validasi deployment Arista dan komponen AI/WordPress yang dilaporkan terdampak.

Impor SQLite berhasil diverifikasi: laporan tanggal 27 Oktober 2026 tercatat; jumlah reports naik dari 49 menjadi 50. Database memuat 418 findings, 150 vulnerabilities, 291 sources, dan 89 report runs.

To stop or manage this job, send me a new message (e.g. "stop reminder Laporan Harian Global Security Intelligence").