Laporan Riset Security System Global — 2026-11-02

Cakupan: 1 November 2026 pukul 07.00–2 November 2026 pukul 07.00 WIB. Fokus pada perubahan baru dibanding laporan 1 November. Pemeriksaan sumber dilakukan sekitar 07.00 WIB.

Ringkasan eksekutif

1. Perkembangan penting yang dapat ditindaklanjuti: AWS memperbarui dua advisory Amazon Linux 2 (EOS) pada 2 November. Satu memuat banyak perbaikan Firefox/Thunderbird, termasuk kebocoran kredensial Thunderbird lewat AutoDiscover HTTP (CVE-2026-113866); yang lain memperbarui mitigasi trust-chain eMudhra pada amazon-ssm-agent (CVE-2026-111943). citeturn984965view0 citeturn984965view1
2. CISA KEV yang diambil langsung menunjukkan katalog versi 2026.10.30, dirilis 30 Oktober; CVE-2026-97229 (GitLab CE/EE) sudah tercatat dan batas tindakan 1 November telah lewat. Laporan sebelumnya tidak menyorot status ini; pemilik GitLab perlu segera verifikasi patch. citeturn997803news12
3. Tidak ada kampanye malware/ransomware/phishing baru yang dapat dikonfirmasi secara memadai dari sumber primer yang diperiksa untuk jendela ini. Ini bukan bukti bahwa tidak ada insiden.
4. Risiko utama operasional hari ini: browser/email client dan server Amazon Linux 2 yang EOS, serta GitLab yang terpapar internet.

Kerentanan baru/perkembangan 24–48 jam

CVE-2026-113866 dan pembaruan Thunderbird — Amazon Linux 2

• Fakta vendor: advisory AWS ALAS2-2026-4057 dirilis 30 Oktober, diperbarui 2 November; severity advisory Important. Paket terdampak thunderbird; paket perbaikan AL2 ialah 153.5.1-1.amzn2.0.1 untuk x86_64/aarch64. citeturn984965view0
• CVE yang perlu perhatian: CVE-2026-113866: saat konfigurasi akun, Thunderbird dapat mengirim kredensial melalui permintaan HTTP AutoDiscover tanpa enkripsi, sehingga penyerang jaringan dapat memperoleh kata sandi. Perbaikan upstream yang disebut AWS ialah Thunderbird 158.0.1 dan 153.5.1. Advisori yang sama mencakup banyak CVE Firefox/Thunderbird lainnya, termasuk sandbox escape/use-after-free; audit daftar lengkap sesuai produk/versi.
• Eksploitasi/KEV: tak ada konfirmasi eksploitasi aktif atau pencatatan KEV yang berhasil diverifikasi untuk CVE ini dalam pemeriksaan.
• CVSS: AWS memberi severity advisory *Important*; CVSS individual tidak dipastikan dari sumber yang diperiksa.
• Analisis/tindakan: risiko kredensial terutama relevan saat proses setup akun lewat jaringan yang dapat dimanipulasi. Perbarui Thunderbird melalui repositori vendor/distro yang sesuai; hindari setup pada jaringan tak tepercaya dan ubah kata sandi bila ada indikasi exposure. Amazon Linux 2 berstatus EOS, sehingga migrasi OS menjadi prioritas.

CVE-2026-111943 — eMudhra certificate trust / amazon-ssm-agent, AL2

• Fakta vendor: AWS memperbarui ALAS2-2026-4063 pada 2 November; severity *Medium*. Go-based package dibangun ulang dengan perbaikan crypto/x509; advisory menyebut amazon-ssm-agent 3.3.5700.0-1.amzn2. citeturn984965view1
• AWS menjelaskan mitigasi utamanya adalah pembaruan ca-certificates yang menghapus CA root yang menandatangani intermediate terdampak; paket agent yang dibangun ulang merupakan pertahanan tambahan. Ini kelanjutan isu yang telah disebut laporan 31 Oktober, bukan insiden kompromi akun yang terbukti.
• Eksploitasi/KEV/CVSS: tidak terkonfirmasi pada bukti yang diperoleh untuk laporan ini; advisory AWS memberi severity *Medium*, bukan skor CVSS individual.
• Tindakan: pastikan ca-certificates terkini, perbarui SSM Agent bila AL2 digunakan, uji koneksi layanan, dan telusuri AWS Health/vendor notice untuk dampak spesifik akun.

CVE-2026-97229 — GitLab CE/EE (status KEV)

• Fakta katalog CISA: entri KEV menyebut integer overflow/wraparound pada validasi regular expression CI/CD yang dapat memungkinkan pengguna tanpa autentikasi mengeksekusi kode pada server melalui konfigurasi CI/CD yang dibuat khusus. Katalog menyebut GitLab Community Edition dan Enterprise Edition; tanggal penambahan 29 Oktober dan due date 1 November. Status penggunaan ransomware tercatat *Unknown*. citenews12
• Catatan validasi: hasil langsung JSON CISA KEV memuat CVE tersebut; tidak ada penambahan katalog setelah versi 2026.10.30 pada pemeriksaan ini. Halaman primer GitLab yang menetapkan rentang versi/perbaikan tidak berhasil diambil saat riset, jadi jangan menebak versi perbaikan.
• Severity/CVSS: KEV membuktikan eksploitasi diketahui, bukan skor severity; CVSS dan versi rentan/perbaikan tidak dipastikan dalam sumber primer yang berhasil diperiksa.
• Tindakan prioritas: pemilik GitLab harus segera membuka advisory resmi GitLab untuk versi terdampak, memperbarui ke rilis perbaikan, membatasi akses instance, meninjau konfigurasi/pipeline CI/CD mencurigakan, dan mempertahankan log untuk triase. Jangan menganggap mitigasi jaringan sebagai pengganti patch.

Konteks KEV lain

CISA KEV yang diperiksa berisi 1.766 entri dan catalogVersion 2026.10.30 (rilis 30 Oktober 2026); selain GitLab di atas, tidak ditemukan tambahan baru setelah tanggal versi katalog pada salinan resmi yang diakses. Catalog date bukan jaminan tak ada eksploitasi baru setelahnya. AWS advisory AL2 kernel yang muncul dalam pencarian juga bukan bukti seluruh CVE terkait dieksploitasi aktif. citeturn997803search0

Kampanye terkonfirmasi

Tidak ditemukan kampanye malware, ransomware, phishing, supply-chain, cloud, atau identity baru yang cukup terkonfirmasi dari sumber primer dalam pemeriksaan ini. Entri GitLab KEV membuktikan eksploitasi kerentanan diketahui, tetapi tidak dengan sendirinya membuktikan satu kampanye tertentu atau penggunaan ransomware; katalog menyatakan ransomware use *Unknown*.

Dampak operasional

• Linux/Windows: inventaris Firefox/Thunderbird; patch melalui mekanisme vendor. Di AL2 prioritaskan migrasi karena EOS. Periksa GitLab pada semua OS.
• Cloud: audit instance AL2 dan SSM Agent/CA bundle; lakukan pembaruan image dan redeploy, bukan hanya mengubah image template.
• Website/API: GitLab yang internet-facing perlu prioritas segera; review pipeline, runner dan konfigurasi CI/CD setelah patch.
• Endpoint: pengguna Thunderbird perlu menghindari konfigurasi akun melalui jaringan tak tepercaya sebelum pembaruan; pantau aktivitas login abnormal bila kredensial mungkin terpapar.
• Jaringan: kurangi paparan instance GitLab dan layanan administratif sementara patch berlangsung; TLS/segmentation membantu tetapi tidak memperbaiki kerentanan.
• Organisasi Indonesia: minta penyedia hosting/VPS mengonfirmasi status GitLab, AL2, Thunderbird dan SSM Agent; prioritaskan layanan publik serta sistem yang menyimpan kredensial cloud.

Tindakan P0/P1/P2

P0 — segera

1. Jika mengoperasikan GitLab CE/EE, periksa advisory resmi dan patch untuk CVE-2026-97229; due date KEV 1 November telah lewat. Simpan log dan lakukan pemeriksaan pipeline mencurigakan.
2. Perbarui Thunderbird yang digunakan pada AL2/distro terdampak; untuk AL2 terapkan advisory ALAS2-2026-4057 dan rencanakan migrasi EOS.
3. Pada AL2, pastikan ca-certificates memuat mitigasi eMudhra dan perbarui SSM Agent sesuai ALAS2-2026-4063.

P1 — 24 jam

1. Inventaris versi GitLab, Thunderbird/Firefox, AL2, CA bundle dan SSM Agent di host, container, golden image, serta workstation.
2. Tinjau log autentikasi GitLab, perubahan CI/CD, runner, token, dan kredensial; rotasi kredensial bila ada indikasi paparan.
3. Cek ulang CISA KEV dan advisori vendor karena katalog resmi yang tersedia bertanggal 30 Oktober.

P2 — 7 hari

1. Hapus AL2 dari image dasar/pipeline dan jadwalkan migrasi ke OS yang masih didukung.
2. Terapkan pemantauan perubahan pipeline/runner dan kebijakan patch berbasis KEV dengan bukti versi aktif.

Hal yang belum pasti

• Rincian versi GitLab rentan dan rilis perbaikannya belum berhasil diverifikasi melalui halaman primer GitLab; gunakan advisory vendor sebelum perubahan produksi.
• Data KEV resmi yang diambil berakhir pada katalog versi 2026.10.30; status setelah rilis itu belum terkonfirmasi.
• Tidak ada bukti yang diperoleh untuk menyimpulkan kampanye tertentu atau dampak aktual pada organisasi tertentu.
• Severity advisory AWS bukan pengganti CVSS individual.

Sumber primer bertanggal

• AWS, ALAS2-2026-4057, dirilis 30 Oktober, diperbarui 2 November 2026 (Thunderbird/Firefox; AL2 EOS). citeturn984965view0
• AWS, ALAS2-2026-4063, dirilis 30 Oktober, diperbarui 2 November 2026 (CVE-2026-111943, SSM Agent/eMudhra). citeturn984965view1
• CISA, Known Exploited Vulnerabilities Catalog, catalogVersion 2026.10.30; entri CVE-2026-97229 ditambahkan 29 Oktober, due 1 November 2026. Hasil pemeriksaan JSON langsung dan indeks CISA; tautan primer tercantum pada katalog.

Kesimpulan: selain menindaklanjuti isu lama, perubahan baru paling penting hari ini adalah advisory browser/email client AL2 yang diperbarui dan konfirmasi status KEV GitLab yang memerlukan patch segera. Batasi klaim insiden: sumber yang diperiksa tidak membuktikan kampanye tertentu.