Rangkuman Celah yang Dieksploitasi 2026: Atlassian, GitLab, Gitea, Tomcat, dan Lainnya

Daftar celah dieksploitasi 2026 untuk tumpukan perkakas developer terus bertambah, dari Atlassian Data Center, GitLab, dan Gitea sampai Apache Tomcat, Laravel Livewire, dan Gogs. Keenam celah yang dibahas di sini tercatat di katalog KEV milik CISA, artinya ada bukti eksploitasi nyata. Artikel ini merangkum apa yang terjadi per 29 Oktober 2026 dan urutan penambalan yang masuk akal bagi tim IT di Indonesia.

Mengapa perkakas developer jadi sasaran

Server Git, wiki, pelacak isu, dan server aplikasi menyimpan hal-hal yang sangat berharga: kode sumber, token CI/CD, kunci cloud, dan kredensial integrasi. Banyak instans juga dibuka ke internet demi kenyamanan kolaborasi dengan vendor atau tim jarak jauh. Penyerang tidak perlu menembus aplikasi bisnis Anda jika bisa masuk lewat platform yang menyimpan rahasia untuk semua aplikasi itu. Karena itu perkakas ini layak diperlakukan sebagai aset kelas atas dalam program patch management berbasis risiko.

Atlassian Data Center: CVE-2026-21589 (baca file tanpa login)

• Produk: edisi self-managed (Data Center) dari Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, serta Crucible dan Fisheye. Menurut watchTowr, Atlassian Cloud sudah ditambal.
• Jenis kerentanan: pembacaan berkas sembarang tanpa autentikasi (path traversal) pada pustaka bersama, terbatas pada berkas di web root yang nama dan lokasinya sudah diketahui penyerang.
• Skor: 9.3 (CVSS 4.0) dari Atlassian, sedangkan NVD memberi 7.5 (CVSS 3.1).
• Eksploitasi: Atlassian mengumumkan celah ini pada 5 Oktober 2026. Menurut SecurityWeek, perusahaan intelijen Previdian merekam upaya eksploitasi hanya beberapa jam setelah analisis teknis dipublikasikan, mencapai 190 upaya dari 32 alamat IP di 10 negara per 8 Oktober. CISA memasukkannya ke KEV pada 15 Oktober 2026.
• Risiko lanjutan: pada Jira yang terhubung ke Crowd, berkas konfigurasi bisa memuat kredensial aplikasi Crowd dalam teks biasa. Rotasi kredensial itu bila instans Anda sempat terpapar.
• Perbaikan: misalnya Confluence DC 9.2.26 dan 10.2.19, Bitbucket DC 9.4.26, 10.2.8, dan 10.5.1, Jira Software DC 9.12.40, 10.3.26, dan 11.3.12, serta Crowd DC 6.3.7, 7.0.3, 7.1.7, dan 7.2.4. Cek advisori Atlassian untuk produk dan cabang Anda.

Jika belum bisa menambal, cabut instans dari internet atau terapkan mitigasi sementara Atlassian berupa aturan penulisan ulang URL pada setiap node, lalu restart. Itu bukan pengganti patch. Periksa log akses untuk pola traversal path setelah URL didecode sampai dua kali.

GitLab dan Gitea: dua entri KEV di Agustus dan September

CISA menambahkan Gitea CVE-2026-60004 ("Gitea Code Injection Vulnerability") ke KEV pada 25 Agustus 2026. Menurut catatan CVE dan blog rilis Gitea, celah ini memungkinkan eksekusi kode jarak jauh lewat API diffpatch melalui pemasangan Git hook, berskor 9.8 (CVSS 3.1) dari penerbit CVE, dan diperbaiki di Gitea 1.27.1 yang dirilis 27 Juli 2026. ID ini milik Gitea, bukan produk lain.

GitLab CVE-2026-85706 ("Path Traversal Vulnerability", untuk GitLab Community dan Enterprise Edition) masuk KEV pada 11 September 2026. Menurut GitLab, pengguna tanpa autentikasi dalam kondisi tertentu dapat membaca berkas sembarang dari server lewat API commits repositori. Skornya 10.0 (CVSS 3.1) dari GitLab. Versi terdampak mulai 18.7, dengan perbaikan di 18.11.12, 19.0.9, 19.1.8, 19.2.6, dan 19.3.2. Tambal keduanya dengan prioritas tinggi karena status KEV berarti eksploitasi sudah terjadi. Jika Anda menjalankan GitLab atau Gitea sendiri (self-managed), pertimbangkan juga membatasi akses ke VPN atau daftar IP yang diizinkan, mematikan pendaftaran terbuka bila tidak dibutuhkan, dan memeriksa akun serta token yang baru dibuat.

Apache Tomcat CVE-2026-34486: sempit tetapi nyata

Celah ini muncul dari kesalahan pada perbaikan CVE-2026-29146, sehingga EncryptInterceptor di fitur clustering Tomcat bisa dilewati. Menurut halaman keamanan Apache, CVE ini dipublikasikan pada 9 April 2026 dengan tingkat Important. Catatan CVE dari Apache menyebut versi 11.0.20, 10.1.53, dan 9.0.116 terdampak, dengan perbaikan di 11.0.21, 10.1.54, dan 9.0.117. CISA memasukkannya ke KEV pada 4 Agustus 2026. Eksposur praktisnya sempit: clustering Tomcat tidak aktif secara bawaan, dan celah ini relevan bila clustering dipakai bersama EncryptInterceptor serta receiver cluster bisa dijangkau lewat jaringan (konfigurasi contoh Tomcat memakai port 4000). Jadi periksa dulu apakah Anda memakai clustering, jangan panik, tetapi perbarui dan pastikan port cluster tidak terbuka ke luar jaringan internal.

Laravel Livewire dan Gogs: pengingat dari tahun lalu

Livewire v3, CVE-2025-54068. Eksekusi perintah jarak jauh tanpa login lewat penanganan pembaruan properti komponen. Terdampak: Livewire 3.0.0-beta.1 sampai sebelum 3.6.4 (versi 2 tidak terdampak). Skor 9.2 (CVSS 4.0) menurut advisori GitHub dan 9.8 (CVSS 3.1) menurut NVD. Tidak ada workaround, hanya upgrade ke 3.6.4 atau lebih baru. Advisori dipublikasikan 17 Juli 2025, dan baru pada 20 Maret 2026 CISA memasukkannya ke KEV, hampir delapan bulan kemudian. Pelajarannya: patch lama yang tertunda tetap bisa menjadi masalah baru. Cek composer.lock di semua proyek Laravel Anda.

Gogs, CVE-2025-8110. Bypass atas perbaikan CVE-2024-55947 melalui symlink pada API PutContents sehingga pengguna terautentikasi bisa menulis berkas di luar repositori. Skor 8.8 (CVSS 3.1) menurut NVD. Terdampak: Gogs 0.13.3 dan sebelumnya, terutama yang terbuka ke internet dengan pendaftaran terbuka (pengaturan bawaan). Wiz mengamati tanda eksploitasi pertama pada 10 Juli 2025 dan mengonfirmasi lebih dari 700 instans terkompromi dari sekitar 1.400 server Gogs yang terpapar. CISA memasukkannya ke KEV pada 12 Januari 2026, dan perbaikan baru tersedia di Gogs 0.13.4 pada 23 Januari 2026. Jika tidak bisa upgrade, matikan pendaftaran terbuka dan taruh Gogs di belakang VPN.

Cara memprioritaskan dan memeriksa paparan

1. Inventarisasi. Daftar semua instans Jira, Confluence, Bitbucket, GitLab, Gitea, Gogs, Tomcat, dan aplikasi Laravel, termasuk yang dipasang tim lain secara diam-diam.
2. Utamakan yang menghadap internet. Pakai KEV sebagai sinyal terkuat, lalu pelajari cara memakai CISA KEV bersama skor CVSS.
3. Tambal, lalu cek kompromi. Karena eksploitasi sering mendahului patch atau berlangsung cepat sesudah PoC beredar, cari akun admin baru, token baru, repositori aneh, dan proses anak yang tidak biasa dari layanan tersebut.
4. Rotasi rahasia yang tersimpan di platform terdampak: token CI, kunci deploy, kredensial Crowd.
5. Kurangi paparan. Letakkan antarmuka admin di belakang VPN atau proxy dengan autentikasi, dan pastikan log dikirim ke sistem terpusat.

Jika Anda ingin memastikan platform developer Anda tidak terbuka berlebihan, layanan asesmen Linuxhackingid dapat membantu menilai paparan eksternalnya.

Linimasa singkat

• 17 Juli 2025: advisori Livewire CVE-2025-54068.
• 10 Desember 2025 sampai 23 Januari 2026: Wiz mempublikasikan eksploitasi Gogs, Gogs masuk KEV (12 Januari), lalu Gogs 0.13.4 dirilis.
• 20 Maret 2026: Livewire masuk KEV.
• 9 April 2026: CVE-2026-34486 Tomcat dipublikasikan.
• 27 Juli 2026: Gitea 1.27.1 dirilis dengan perbaikan CVE-2026-60004.
• 25 Agustus dan 11 September 2026: Gitea dan GitLab masuk KEV.
• 5 sampai 15 Oktober 2026: Atlassian CVE-2026-21589 diumumkan, dieksploitasi, lalu masuk KEV.

Baca juga: Pembobolan F5: Kode Sumber BIG-IP Dicuri dan Celah APM Dieksploitasi, Celah Android yang Dieksploitasi 2026: Qualcomm dan Framework.

Pertanyaan yang Sering Diajukan

Apakah instans internal saja yang tidak menghadap internet aman?

Lebih aman, tetapi tidak kebal. Penyerang yang sudah masuk jaringan bisa memakai celah yang sama. Tetap tambal, dengan urutan lebih rendah dari yang terbuka ke internet.

Apa arti masuk KEV?

CISA memiliki bukti kerentanan itu telah dieksploitasi di dunia nyata. Itu sinyal paling kuat bahwa penundaan punya biaya nyata.

Haruskah semua patch diterapkan hari ini juga?

Tidak. Mulai dari entri KEV pada aset yang menghadap internet, lalu turun berdasarkan paparan dan nilai aset.

Kesimpulan

Rangkuman celah dieksploitasi 2026 untuk tumpukan developer menunjukkan pola yang sama: platform kolaborasi menyimpan rahasia, sering terbuka ke internet, dan sering tertunda ditambal. Susun inventaris, utamakan yang berstatus KEV, dan periksa kompromi sesudah menambal. Untuk membangun kebiasaan ini bersama tim, lihat program pelatihan Linuxhackingid. Referensi utama: SecurityWeek tentang Atlassian, peringatan KEV CISA, dan riset Wiz tentang Gogs.