CISA Masukkan Tujuh Kerentanan yang Sedang Dieksploitasi ke KEV: Switchvox, Starlette, Kestra, LiteLLM, dan Artifactory Kena
Daftar Isi 4 bagian
Tujuh Celah, Satu Katalis: Eksploitasi Nyata di Alam Liar
Cybersecurity and Infrastructure Security Agency (CISA) Amerika Serikat menambahkan tujuh kerentanan ke katalog Known Exploited Vulnerabilities (KEV) pada 2 September 2026, masing-masing dengan bukti eksploitasi aktif di alam liar. Daftar ini mencolok bukan hanya karena mencakup produk dengan fungsi yang sangat berbeda — dari sistem telepon kantor hingga gateway AI — tetapi juga karena dua di antaranya menyandang skor CVSS sempurna 10.0.
Pencantuman di KEV adalah sinyal yang jauh lebih kuat daripada sekadar publikasi CVE biasa. Katalog ini hanya memuat kerentanan yang eksploitasinya telah dikonfirmasi, bukan sekadar diprediksi, dan bagi instansi federal AS, entri baru langsung mewajibkan remediasi cepat berdasarkan Binding Operational Directive (BOD) 26-04. Bagi organisasi di luar pemerintahan AS, kehadiran sebuah CVE di KEV praktis berarti: penyerang sedang memakainya sekarang, dan patch harus melompat ke puncak antrean.
Deretan Kerentanan dan Detail Teknisnya
| CVE | Produk | Tipe Kerentanan | CVSS v3.1 | Versi Patch |
|---|---|---|---|---|
| CVE-2026-49869 | Kestra OSS | OS Command Injection (CWE-78) | 10.0 | 1.0.45 / 1.3.21 |
| CVE-2026-83548 | SonicWall SMA1000 | SSRF pre-autentikasi | 10.0 | 12.4.3-03526 / 12.5.0-02952 |
| CVE-2026-9586 | Sangoma Switchvox SMB | SQL Injection tanpa autentikasi | 9.8 | 8.4.0.2 |
| CVE-2026-82329 | JFrog Artifactory | Improper Authentication (CWE-287) | 9.8 | 7.111.21, 7.117.28, 7.125.20 |
| CVE-2026-59822 | BerriAI LiteLLM | Improper Authentication (bypass MCP via OAuth2) | 8.8 | 1.84.0 |
| CVE-2026-83549 | SonicWall SMA1000 | OS Command Injection di AMC | 7.8 | 12.4.3-03526 / 12.5.0-02952 |
| CVE-2026-48710 | Kludex Starlette | HTTP Request/Response Smuggling (CWE-444) | 6.5 | 1.0.1 |
Yang paling berbahaya adalah kombinasi pada Kestra, platform orkestrasi workflow sumber terbuka yang tengah naik daun. CVE-2026-49869 berakar pada pemeriksaan sufiks yang longgar pada path API; penyerang dapat menambahkan string tertentu untuk melewati autentikasi dan mengeksekusi perintah sistem sebagai root. Skor 10.0 di sini mencerminkan dampak total: akses tanpa kredensial, kendali penuh atas server, dan — karena Kestra sering berjalan di lingkungan data engineering yang terhubung ke database dan pipeline — potensi pergerakan lateral yang luas.
Pasangan SonicWall SMA1000 mengikuti pola yang sudah familier di lini appliance remote access. CVE-2026-83548 adalah SSRF pada antarmuka Work Place yang bisa dieksploitasi tanpa autentikasi, sementara CVE-2026-83549 adalah injeksi perintah OS di Appliance Management Console yang secara normal memerlukan administrator. Dirantai, keduanya menghasilkan remote code execution tanpa kredensial pada perangkat yang biasanya terpapar langsung ke internet. SonicWall mengonfirmasi eksploitasi aktif kedua celah ini dan menekankan bahwa serangan sudah terjadi sebelum pengungkapan publik pada 1 September — artinya appliance yang rentan tidak bisa dianggap bersih hanya karena belum sempat ditambal.
Sementara itu, CVE-2026-9586 menyerang Sangoma Switchvox SMB, sistem PBX yang banyak dipakai kantor kecil dan menengah. Parameter telepon digabungkan langsung ke dalam query SQL tanpa sanitasi, sehingga satu permintaan tunggal sudah cukup untuk mengeksekusi perintah database dan berujung pada remote code execution. Di sisi toolchain pengembangan, CVE-2026-82329 pada JFrog Artifactory — repositori biner yang menyimpan artefak perangkat lunak — membuka celah autentikasi yang oleh CISA dinilai 9.8, sementara CVE-2026-59822 pada LiteLLM, gateway API populer untuk model AI, memungkinkan bypass autentikasi melalui fallback OAuth2 passthrough pada alur Model Context Protocol (MCP). Kelengkapan daftar ini ditutup CVE-2026-48710, celah request smuggling pada Starlette, framework ASGI yang menjadi fondasi ekosistem FastAPI dan digunakan luas di aplikasi Python modern.
Mengapa Gelombang Ini Berbeda
Yang membuat pengumuman kali ini menonjol adalah komposisi korbannya. Separuh dari tujuh entri menyentuh komponen open source dan toolchain AI — Kestra, LiteLLM, Starlette — yang adopsinya meledak dalam dua tahun terakhir tetapi sering luput dari program patch konvensional. Organisasi yang rajin menambal sistem operasi dan aplikasi bisnis kerap mengabaikan komponen semacam ini karena dianggap alat internal, padahal justru di sanalah penyerang menemukan jalan masuk yang paling sepi pengawasan.
Pelaporan seputar gelombang eksploitasi ini juga menyebut penyerang teramati mengerahkan reverse shell dan penambang kripto setelah berhasil masuk — pola yang menunjukkan motivasi campuran antara akses persisten dan keuntungan instan, dan yang membuat setiap server yang terkompromi berubah menjadi aset yang dimanfaatkan, bukan sekadar korban.
CISA sendiri mencatat bahwa jenis kerentanan ini adalah vektor serangan yang sering dipakai aktor jahat dan menimbulkan risiko signifikan bagi jaringan enterprise. Data pelacakan pihak ketiga menunjukkan katalog KEV bertambah puluhan entri baru dalam sebulan terakhir saja, menegaskan bahwa eksploitasi terhadap celah yang sudah diketahui — bukan zero-day — tetap menjadi jalur utama kompromi.
Langkah yang Harus Diambil Sekarang
Prioritas pertama adalah menambal sesuai versi yang tertera pada tabel di atas. Untuk Kestra, upgrade ke 1.0.45 atau 1.3.21; Switchvox ke 8.4.0.2; LiteLLM ke 1.84.0; Starlette ke 1.0.1; Artifactory ke rilis yang telah diperbaiki; dan SMA1000 ke hotfix 12.4.3-03526 atau 12.5.0-02952. Karena eksploitasi berjalan sebelum pengungkapan, organisasi tidak boleh berhenti di penambalan — appliance dan server yang terpapar publik perlu diperlakukan sebagai kandidat yang mungkin sudah dikompromikan, dengan pemeriksaan log, pencarian indikator kompromi, dan rotasi kredensial yang menyentuh sistem tersebut.
Mitigasi struktural juga layak diterapkan sekarang, bukan nanti: isolasi antarmuka administrasi di balik firewall dan VPN, batasi akses ke console manajemen hanya dari jaringan tepercaya, serta pastikan layanan seperti Kestra, Artifactory, dan LiteLLM tidak terekspos langsung ke internet tanpa autentikasi dan tanpa pembatasan akses berbasis IP. Tim keamanan sebaiknya memanfaatkan katalog KEV sebagai input rutin dalam proses prioritas patch — daftar ini gratis, diperbarui hampir setiap hari, dan secara langsung menjawab pertanyaan paling praktis dalam manajemen kerentanan: mana yang sedang dipakai penyerang sekarang.
