Celah Kritis VMware vCenter VMSA-2026-0006

Celah kritis VMware vCenter yang dibahas dalam advisori Broadcom VMSA-2026-0006 dirilis pada 29 Juli 2026 dan memuat dua kerentanan vCenter Server dengan skor CVSS 9,8. Salah satunya sudah dieksploitasi dan ditandai CISA dipakai oleh kelompok ransomware, sehingga lapisan virtualisasi yang menjalankan hampir semua server organisasi menjadi target nyata.

Ringkasan VMSA-2026-0006

• CVE-2026-59310: directory traversal pada server Syslog vCenter Server yang memungkinkan eksekusi kode tanpa autentikasi. CVSS 3.1 9,8, dinilai VMware (Broadcom) pada catatan CVE. Masuk CISA KEV pada 18 Agustus 2026 dan kemudian ditandai dipakai dalam kampanye ransomware.
• CVE-2026-59309: bypass autentikasi pada VMware Directory Service di vCenter Server, CVSS 3.1 9,8, dinilai VMware (Broadcom). Menurut Greenbone, Defused Cyber melaporkan probing terhadap celah ini pada 11 Agustus 2026 dan QUIRSO melaporkan eksploitasi. Per 28 Oktober 2026 celah ini belum tercantum di katalog KEV.
• Celah ESX dalam advisori yang sama: CVE-2026-47876 (VMXNET3 out-of-bounds write, CVSS 9,3), CVE-2026-41703 (out-of-bounds read, 7,6), dan CVE-2026-41709 (insufficient logging, 2,7). Meski skornya paling rendah, CVE-2026-41709 ditambahkan CISA ke KEV pada 28 Oktober 2026.
• Versi terdampak dan perbaikan: menurut catatan CVE, vCenter 8.0 sebelum 8.0 U3k, 9.0.x sebelum 9.0.2.0100, dan 9.1.x sebelum 9.1.0.0300 terdampak, begitu pula VMware Cloud Foundation, vSphere Foundation, dan produk Telco tertentu. Cocokkan build Anda dengan tabel di advisori VMSA-2026-0006.
• Workaround: tidak ada. Satu-satunya langkah efektif adalah memasang patch.

Apa yang Terjadi pada Celah VMware vCenter

Broadcom menerbitkan patch dan advisori pada 29 Juli 2026. Menurut BleepingComputer, peneliti QUIRSO kemudian melaporkan kampanye eksploitasi, sementara Greenbone mencatat Defused Cyber melihat probing terhadap CVE-2026-59309 pada 11 Agustus. CISA memasukkan CVE-2026-59310 ke katalog KEV pada 18 Agustus 2026 dan mewajibkan lembaga federal mengamankan sistemnya dalam tiga hari. Pada pembaruan berikutnya, CISA menandai celah itu sebagai dipakai kelompok ransomware, tetapi tidak membagikan detail serangannya.

Menurut laporan tersebut, aktor yang diduga APT memakai celah ini untuk memasang alat reverse SSH sebagai akses berkelanjutan, dan QUIRSO melaporkan lebih dari 361 alamat IP di 47 negara telah dikompromikan. Shadowserver, masih menurut BleepingComputer, melacak lebih dari 450 server vCenter yang terpapar ke internet, tanpa data berapa yang sudah ditambal. Pembaruan ulasan Greenbone juga mencatat bahwa kode proof-of-concept publik untuk CVE-2026-59310 sudah tersedia.

Siapa yang Terdampak dan Mengapa vCenter Begitu Penting

Setiap organisasi yang menjalankan vCenter Server pada versi sebelum perbaikan terdampak. vCenter adalah pusat kendali hipervisor: siapa pun yang menguasainya dapat melihat, mematikan, atau menyalin mesin virtual, termasuk domain controller dan server basis data. Karena itu geng ransomware menyukainya, sebab satu titik kompromi dapat mengenkripsi banyak server sekaligus. Menurut BleepingComputer, CISA telah menandai 26 kerentanan VMware sebagai dieksploitasi dalam lima tahun terakhir, sembilan di antaranya juga dipakai dalam operasi ransomware.

Di Indonesia, vCenter lazim dipakai di pusat data korporasi, bank, rumah sakit, dan instansi pemerintah. Sebagian terpasang lama tanpa pembaruan karena dianggap terlalu kritis untuk di-restart, padahal itulah profil target yang paling dicari. Untuk memahami mengapa skor tinggi dan status KEV harus dibaca bersama, baca panduan skor CVSS.

Cara Mengecek dan Mengamankan VMware vCenter

1. Cari semua vCenter. Catat versi build setiap instans, termasuk lingkungan uji dan instans yang diwarisi dari proyek lama.
2. Cocokkan dengan advisori. Gunakan VMSA-2026-0006 untuk menentukan apakah build Anda terdampak dan versi perbaikannya.
3. Patch sebagai prioritas darurat. Menurut BleepingComputer, Broadcom meminta pelanggan memperlakukan perbaikan CVE-2026-59310 sebagai keadaan darurat. Buat snapshot atau backup vCenter sebelum memperbarui.
4. Isolasi bidang manajemen. vCenter tidak boleh dapat dijangkau dari internet. Batasi akses ke jaringan manajemen khusus, jump host, atau VPN dengan autentikasi multifaktor.
5. Segmentasi. Pisahkan jaringan manajemen hipervisor dari jaringan pengguna dan server umum.
6. Pemantauan. Cari koneksi SSH keluar yang tidak lazim dari vCenter, dan tinjau log Syslog dan Directory Service untuk aktivitas yang tidak dikenal. Bila Anda menemukan tanda kompromi, perlakukan sebagai insiden dan libatkan tim respons.
7. Pastikan backup tidak terjangkau. Simpan salinan offline atau immutable di luar domain yang sama dengan vCenter.

Karena eksploitasi dapat mendahului patch, patch saja belum membuktikan sistem Anda bersih. Pelajari konsep ini pada kerentanan zero-day dan bagaimana ransomware memanfaatkan titik kendali seperti ini.

Memahami Jenis Celah dan Rekomendasi Hardening

Dua celah vCenter utama berbeda jenisnya. Directory traversal pada Syslog berarti aplikasi gagal membatasi path yang dapat diakses, sehingga penyerang dapat memengaruhi file yang seharusnya di luar jangkauan dan akhirnya menjalankan kode. Bypass autentikasi pada Directory Service berarti pemeriksaan identitas dapat dilewati, sehingga penyerang bisa bertindak seolah pengguna sah. Menurut vektor CVSS di catatan CVE, keduanya dapat dipicu lewat jaringan tanpa autentikasi dan tanpa interaksi pengguna, sehingga skornya mencapai 9,8. Celah VMXNET3 pada ESX berbeda: penyerang perlu sudah punya hak administrator di dalam mesin virtual tamu, tetapi hasilnya bisa menembus batas antara VM dan host.

Selain patch, ada beberapa kebiasaan hardening yang mengurangi dampak celah vCenter berikutnya. Pertama, jangan pernah mengekspos antarmuka manajemen hipervisor ke internet. Kedua, pakai akun administrator terpisah dengan autentikasi multifaktor dan catat semua login. Ketiga, kirim log vCenter dan ESX ke SIEM di luar lingkungan virtualisasi agar penyerang tidak dapat menghapus jejaknya. Keempat, latih tim agar mampu melakukan pemulihan dari backup offline, karena serangan ransomware pada hipervisor dapat melumpuhkan seluruh pusat data sekaligus. Tinjauan berkala melalui vulnerability assessment membantu menemukan instans vCenter yang terlupakan.

Linimasa Singkat

• 29 Juli 2026: Broadcom menerbitkan VMSA-2026-0006.
• 11 Agustus 2026: Defused Cyber melaporkan probing terhadap CVE-2026-59309.
• 18 Agustus 2026: CVE-2026-59310 masuk KEV.
• Pertengahan September 2026: CISA menandai CVE-2026-59310 dipakai ransomware, menurut BleepingComputer 15 September.
• 28 Oktober 2026: CVE-2026-41709 pada ESX masuk KEV.

Pertanyaan yang Sering Diajukan

Apakah ada workaround selain patch?

Tidak. Greenbone menyebut tidak ada workaround untuk celah-celah ini. Mengisolasi vCenter dari internet mengurangi risiko tetapi tidak menggantikan patch.

Apakah vCenter di jaringan internal saja aman?

Lebih aman, tetapi tidak kebal. Penyerang yang sudah punya pijakan di jaringan internal dapat menjangkaunya, jadi segmentasi dan patch tetap wajib.

Apa langkah pertama bila vCenter saya diduga sudah dieksploitasi?

Isolasi dari jaringan, amankan bukti log, dan libatkan tim respons insiden sebelum memperbarui atau me-restart, agar jejak tidak hilang.

Kesimpulan

Per 29 Oktober 2026, VMSA-2026-0006 adalah salah satu celah virtualisasi paling mendesak tahun ini: kritis, tanpa workaround, dan sudah dipakai oleh pelaku ransomware. Inventarisasi vCenter, pasang patch, dan pindahkan bidang manajemen ke jaringan terisolasi. Untuk memverifikasi hasilnya, layanan asesmen Linuxhackingid dapat membantu mengaudit eksposur infrastruktur virtualisasi Anda.