Serangan siber dapat berawal dari celah keamanan pada perangkat atau aplikasi yang digunakan perusahaan. Ketika celah tersebut belum diperbaiki, hacker dapat memanfaatkannya untuk masuk ke sistem, mencuri informasi, menjalankan perintah, hingga memasang program berbahaya.

U.S. Cybersecurity and Infrastructure Security Agency (CISA) baru-baru ini menambahkan tujuh celah keamanan ke dalam daftar Known Exploited Vulnerabilities (KEV). Daftar tersebut berisi kerentanan yang diketahui telah dimanfaatkan dalam serangan nyata.

7 Celah Keamanan yang Jadi Target Hacker

Tujuh celah tersebut memengaruhi berbagai perangkat dan aplikasi, dengan tingkat risiko yang berbeda. Sejumlah celah bahkan memungkinkan hacker memperoleh akses tanpa autentikasi atau menjalankan kode dari jarak jauh.

Celah yang masuk daftar CISA meliputi:

• CVE-2026-83548 dan CVE-2026-83549 pada SonicWall SMA 1000, yang dapat digunakan untuk mengakses fungsi sensitif dan menjalankan perintah sistem.
• CVE-2026-9586 pada Sangoma Switchvox, yang memungkinkan hacker memasukkan perintah ke database dan berpotensi menjalankan kode dari jarak jauh.
• CVE-2026-82329 pada JFrog Artifactory, yang dapat memberikan akses administrator tanpa autentikasi dalam konfigurasi tertentu.
• CVE-2026-48710 pada Kludex Starlette, yang dapat dimanfaatkan untuk melewati autentikasi dalam kondisi tertentu.
• CVE-2026-49869 pada Kestra OSS, yang memungkinkan pembuatan dan eksekusi workflow tanpa kredensial.
• CVE-2026-59822 pada LiteLLM, yang dapat memungkinkan pembuatan sesi MCP menggunakan token yang dibuat secara bebas.

Baca Juga: Modus Baru Hacker Incar Data Bisnis dan Keuangan

Hacker Tidak Berhenti setelah Berhasil Masuk

Sejumlah laporan keamanan menunjukkan bahwa hacker memanfaatkan celah tersebut sebagai pintu masuk untuk melakukan serangan lanjutan. Dalam beberapa kasus, pelaku menggunakan akses awal untuk mengambil kendali sistem dan mencari informasi penting.

Aktivitas yang ditemukan, antara lain:

• Membuka reverse shell untuk menjalankan perintah dari jarak jauh.
• Membuat atau memperoleh token administrator.
• Mencari informasi pengguna, grup, kredensial, dan akses lainnya.
• Mengakses database serta sistem yang terhubung.
• Memasang mekanisme untuk mempertahankan akses.
• Memanfaatkan sumber daya komputer korban untuk menambang cryptocurrency.

Hal ini menunjukkan bahwa satu celah keamanan dapat menjadi awal dari rangkaian serangan yang lebih besar.

Infrastruktur AI Mulai Menjadi Sasaran

Ancaman juga semakin meluas ke infrastruktur yang mendukung penggunaan AI. LiteLLM menjadi salah satu contohnya karena terhubung dengan model AI, layanan provider, API, dan database.

Microsoft dan Wiz mencatat bahwa teknologi seperti LiteLLM, Flowise, LangChain, Langflow, ChromaDB, Ollama, Marimo, dan MCP server mulai menjadi target karena dapat memberikan akses ke informasi yang bernilai.

Hacker dapat mengejar beberapa tujuan, seperti:

• Mencuri API key dan kredensial.
• Mengakses sistem backend.
• Mengambil konfigurasi model dan endpoint.
• Mempertahankan akses ke lingkungan korban.
• Menyalahgunakan sumber daya komputasi untuk cryptomining.

Serangan LiteLLM Bisa Berujung pada Pencurian Kredensial

Kasus LiteLLM menunjukkan bagaimana serangan dapat berkembang setelah hacker berhasil melewati sistem keamanan. Celah CVE-2026-42271 dan CVE-2026-48710 dilaporkan dapat digunakan untuk melewati autentikasi dan menjalankan kode dari jarak jauh.

Dalam beberapa serangan, pelaku kemudian memasang XMRig miner dan mengakses database PostgreSQL di belakang LiteLLM. Informasi yang dicari dapat mencakup:

• Konfigurasi model AI.
• API key milik provider.
• Endpoint provider.
• Virtual key yang diterbitkan sistem.
• Informasi kredensial lainnya.

Kebocoran informasi tersebut dapat membuka peluang bagi hacker untuk mengakses layanan lain yang menggunakan kredensial yang sama.

Baca Juga: Vishing Jadi Senjata Baru Hacker, Ini Modusnya

Kestra Dimanfaatkan hingga untuk Cryptomining

CVE-2026-49869 pada Kestra OSS juga menunjukkan dampak yang dapat ditimbulkan dari eksploitasi celah keamanan. Microsoft melaporkan bahwa celah tersebut kemungkinan dimanfaatkan untuk menjalankan reverse shell, memeriksa lingkungan container, menghindari deteksi, hingga memasang cryptocurrency miner.

Aktivitas yang ditemukan meliputi:

• Menjalankan perintah melalui workflow engine.
• Mengakses Docker socket.
• Melakukan defense evasion.
• Memasang cryptocurrency miner.
• Mengumpulkan data dari sistem.

Perusahaan Perlu Segera Mengecek Sistem Terdampak

Masuknya tujuh celah tersebut ke daftar KEV menjadi sinyal bagi perusahaan untuk segera memeriksa sistem yang digunakan. Patch tetap menjadi langkah utama, tetapi pemeriksaan setelah pembaruan juga penting untuk memastikan tidak ada tanda-tanda kompromi.

Perusahaan sebaiknya:

• Mengecek aset yang menggunakan produk terdampak.
• Memasang pembaruan keamanan yang tersedia.
• Memprioritaskan celah yang telah digunakan dalam serangan.
• Memeriksa log dan aktivitas sistem yang tidak biasa.
• Mengganti kredensial, token, atau API key yang berpotensi terekspos.
• Memeriksa akun dan akses yang mungkin dibuat tanpa izin.

Dengan semakin luasnya penggunaan teknologi digital dan AI, pengamanan sistem perlu dilakukan secara menyeluruh, bukan hanya setelah serangan terjadi.