INSIGHTS
Open Source dan Linux Field notes from our operators.
Every article we have published under Open Source dan Linux, newest first.
- CVE CREDITS
- 42
- ENGAGEMENTS
- 180+
- BILINGUAL
- EN/ID
advisories published after coordinated disclosure only · engagement details anonymised per NDA
Open Source dan Linux - MORE ARTICLES
MinIO Community Diarsipkan dan Pelajaran Risiko Lisensi Open Source
MinIO community diarsipkan oleh pemiliknya pada 25 April 2026, sehingga repositori open source server penyimpanan objek S3 yang banyak dipakai itu kini read-only dan tidak lagi dipelihara. Kasus ini, bersama sengketa tata kelola RubyGems pada 2025, memberi pelajaran praktis tentang risiko ketergantungan pada proyek open source yang dikendalikan satu pihak.
Debian 13, Fedora 44, dan RHEL 10.2: Rilis Distro Linux Terbaru
Distro Linux terbaru yang paling relevan bagi admin saat ini adalah Debian 13 "trixie", Fedora 44, dan RHEL 10.2 bersama RHEL 9.8. Artikel ini merangkum perubahan utama masing-masing per 29 Oktober 2026, ditambah dua komponen inti yang ikut memengaruhi upgrade: systemd 260 dan rangkaian CVE glibc.
OpenSSL 4.0: Perubahan Penting dan Persiapan Migrasi
OpenSSL 4.0 dirilis pada 14 April 2026 dan membawa Encrypted Client Hello serta penghapusan sejumlah fitur lama, seperti SSLv3 dan dukungan engine, yang dapat merusak aplikasi dan skrip build. Versi ini bukan LTS dan hanya didukung sampai 14 Mei 2027, sementara OpenSSL 4.1 sudah terbit, sehingga tim yang mengelola layanan TLS perlu merencanakan pengujian dan migrasi sejak sekarang.
Kali Linux 2026: Rangkuman Rilis 2026.1 hingga 2026.3
Kali Linux 2026 sudah memiliki tiga rilis: 2026.1 pada 24 Maret, 2026.2 pada 29 Juni, dan 2026.3 pada 26 Oktober 2026. Rangkuman ini membantu praktisi dan pelajar keamanan memahami tool baru, perubahan kernel dan desktop, serta pembaruan skrip build yang berdampak bagi pembuat image kustom.
Ubuntu 26.04 LTS: sudo-rs, Rust Coreutils, dan Dampaknya bagi Admin
Ubuntu 26.04 LTS "Resolute Raccoon" dirilis Canonical pada 23 April 2026 dan menjadi rilis LTS pertama yang menjadikan sudo-rs dan Rust coreutils sebagai komponen bawaan. Bagi admin, perubahan ini bukan sekadar kosmetik: sudo dan sebagian besar perintah dasar kini berjalan dari implementasi Rust yang memory-safe, sehingga skrip dan aturan sudoers perlu diuji sebelum upgrade produksi.
Linux Kernel 7.x dan Rust: Perubahan Penting untuk Keamanan
Linux kernel 7 sudah hadir lewat rilis 7.0 pada April 2026 dan 7.3 pada Oktober 2026, sementara Rust resmi tidak lagi berlabel eksperimental sejak keputusan Desember 2025. Perubahan itu membawa fitur pengerasan baru dan arah jangka panjang soal keamanan memori. Artikel ini merangkum yang penting bagi admin dan engineer Linux per 29 Oktober 2026.
SBOM, SLSA, dan Sigstore: Fondasi Keamanan Rantai Pasok Open Source
SBOM, SLSA, dan Sigstore adalah tiga fondasi yang kini sering disebut bersamaan ketika membahas keamanan rantai pasok perangkat lunak open source. SBOM mencatat isi software, SLSA menilai kekuatan proses build, dan Sigstore memungkinkan penandatanganan tanpa mengelola kunci panjang umur. Artikel ini menjelaskan fungsi masing-masing dan batasnya, terutama kenyataan bahwa provenance yang valid bukan bukti paket aman.
Supply Chain Attack Perangkat Lunak: Pengertian dan Cara Mencegahnya
Supply chain attack perangkat lunak adalah serangan yang menyusupi komponen, alat, atau jalur distribusi yang dipercaya korban, bukan menyerang korban secara langsung. Sepanjang 2025 dan 2026 pola ini menjadi arus utama lewat worm npm, kompromi pipeline CI, dan paket berbahaya di registry. Artikel ini menjelaskan pengertian, contoh nyata, dan cara mencegahnya untuk tim di Indonesia.
Insiden Registry Paket 2026: crates.io, Mastra, SAP CAP, dan Lainnya
Sepanjang 2026, serangan registry paket menyasar crates.io, npm, dan PyPI dengan pola yang berulang: kredensial pipeline atau akun maintainer dicuri, lalu rilis berbahaya diterbitkan atas nama proyek yang dipercaya. Artikel ini merangkum kasus crates.io, Mastra, SAP CAP, Red Hat, AsyncAPI, dan durabletask berdasarkan laporan per 29 Oktober 2026, beserta langkah pembelajarannya.
Pembajakan Tag GitHub Actions dan Cara Mengamankan Pipeline CI/CD
Keamanan GitHub Actions kembali jadi sorotan setelah pada 19 Maret 2026 penyerang memindahkan 76 dari 77 tag versi trivy-action ke commit berbahaya. Workflow yang memakai tag, bukan commit SHA, otomatis menjalankan kode tersebut dan kehilangan rahasia CI tanpa gejala yang jelas. Artikel ini menjelaskan bagaimana pembajakan tag terjadi dan langkah praktis mengamankan pipeline Anda.
Malware di AUR Arch Linux: Kasus Atomic Arch
Kasus malware AUR yang dijuluki Atomic Arch terungkap pada 11 sampai 12 Juni 2026, ketika ratusan paket yatim di Arch User Repository diadopsi akun penyerang lalu disusupi kode berbahaya. Paket tersebut sudah punya pengguna setia, sehingga pembaruan rutin berubah menjadi jalur pencurian kredensial. Artikel ini menjelaskan kronologi, cara kerjanya, dan cara membaca PKGBUILD sebelum Anda memasang apa pun.
GlassWorm: Malware Ekstensi VS Code dan Open VSX
GlassWorm adalah kampanye malware yang dijuluki worm karena menyebar lewat ekstensi VS Code di marketplace Open VSX, dan pertama kali diungkap pada Oktober 2025. Malware ini menyembunyikan kodenya dengan karakter Unicode tak kasatmata, mencuri kredensial pengembang, lalu kredensial itu dipakai untuk menerbitkan ekstensi berbahaya lain. Artikel ini menjelaskan cara kerjanya secara konseptual dan langkah hygiene ekstensi bagi developer.
Perubahan Keamanan npm: Token Klasik Dicabut, Trusted Publishing, dan Cooldown
Sejak token klasik dicabut permanen pada 9 Desember 2025, npm trusted publishing menjadi jalur yang dianjurkan GitHub untuk merilis paket JavaScript tanpa token statis. Per 29 Oktober 2026, GitHub juga menambahkan staged publishing, pemindaian malware sebelum persetujuan rilis, dan kontrol instalasi baru. Artikel ini merangkum apa yang berubah dan apa yang perlu diubah oleh maintainer.
Pembajakan Paket npm axios dan chalk: Kronologi dan Pelajarannya
Pembajakan paket npm axios pada 31 Maret 2026 dan serangan phishing yang membackdoor chalk, debug, dan belasan paket lain pada 8 September 2025 adalah dua insiden maintainer account takeover yang paling banyak dibahas. Keduanya hanya berlangsung beberapa jam, tetapi menyentuh paket dengan miliaran unduhan. Artikel ini merangkum kronologi, perbedaan caranya, dan pelajaran untuk proyek JavaScript Anda per 29 Oktober 2026.
Kampanye TeamPCP: Saat Trivy dan LiteLLM Ikut Disusupi
TeamPCP adalah nama yang dipakai peneliti untuk kelompok di balik kampanye rantai pasok 2026 yang dimulai dari Trivy, pemindai keamanan populer milik Aqua Security, lalu merembet ke Checkmarx KICS dan pustaka AI LiteLLM. Kampanye ini penting karena perkakas yang seharusnya melindungi justru menjadi pintu masuk. Artikel ini merangkum kronologi hingga 29 Oktober 2026 dan pelajaran bagi tim DevOps di Indonesia.
Shai-Hulud: Worm npm yang Menyebar Sendiri dan Cara Melindungi Proyek
Shai-Hulud adalah worm npm yang menyebar sendiri dengan mencuri kredensial pengembang lalu memakainya untuk menerbitkan versi berbahaya dari paket-paket lain milik korban. Sejak gelombang pertama pada September 2025, keluarga worm ini terus berevolusi menjadi Shai-Hulud 2.0, Mini Shai-Hulud, dan ChainDrop. Artikel ini merangkum kronologinya per 29 Oktober 2026 dan langkah perlindungan bagi proyek Anda.
Written by the operators who ran the work, in English and Bahasa Indonesia.
Get the next advisory first. No digest, no noise.
One email when something genuinely matters - or follow the community channels where we post first.
NEXT STEP
Talk to an operator, not a sales desk.
A short scoping call, then scope, schedule and cost in writing within 2 working days.