RINGKASAN HARIAN
Kelemahan Brotli Decoder di Balik Kerentanan RCE Node.js Juga Mempengaruhi Bun, Python, dan Bahasa Pemrograman Lain yang Banyak Digunakan…
Pengarahan hari ini mencakup bug dekoder Brotli yang tersebar luas, kebocoran rantai pasokan di LiteLLM, dan eksploitasi aktif baru yang ditandai oleh CISA.
5 berita3 menit baca
Risiko rantai pasokan perangkat lunak dan celah keamanan infrastruktur yang belum ditambal mendominasi perkembangan keamanan saat ini. Organisasi yang mengandalkan komponen sumber terbuka dan perangkat perusahaan menghadapi tugas pemeliharaan yang mendesak.
Pertama, kerentanan kerusakan memori pada dekoder Brotli milik Google berdampak pada ekosistem perangkat lunak yang banyak digunakan, termasuk Node.js, Bun, Python, dan Envoy. Pada saat yang sama, CISA telah menambahkan kerentanan yang dieksploitasi secara aktif pada Collabora Online dan Arista VeloCloud Orchestrator ke katalog Kerentanan yang Diketahui yang Telah Dieksploitasi.
Tim keamanan harus segera mengaudit rahasia yang terekspos di repositori pengembang, menerapkan patch vendor untuk sistem perimeter yang tercantum dalam katalog CISA, dan memperbarui dependensi Brotli di seluruh lingkungan.
Bocornya Kunci Utama LiteLLM Memungkinkan Penyerang Mencuri Token GitHub dan Membajak Alur Rilis.
Kunci utama Agent Platform yang bocor di repositori GitHub publik (LiteLLM-Labs/lite-harness) pada akhir Mei 2026 memungkinkan penyerang untuk mencuri token GitHub. Pelaku ancaman kemudian menggunakan akses yang dicuri untuk membajak jalur rilis LiteLLM dan menerbitkan versi berbahaya dari paket Python tersebut.
- Apa yang harus dilakukan
- Lakukan rotasi kunci API dan token GitHub yang terekspos, audit pipeline rilis CI/CD, dan verifikasi integritas paket LiteLLM.
CISA Menemukan Dua Celah Kritis yang Dieksploitasi Secara Aktif di Collabora Online dan Arista VeloCloud
CISA menambahkan CVE-2026-110447 pada Collabora Online Built-in CODE Server dan CVE-2026-114625 pada Arista VeloCloud Orchestrator ke katalog Kerentanan yang Diketahui yang Telah Dieksploitasi setelah adanya eksploitasi aktif di lapangan. Kerentanan tersebut memungkinkan injeksi perintah OS dan injeksi SQL.
- Apa yang harus dilakukan
- Perbarui Collabora Online Built-in CODE Server ke versi 26.4.303 atau yang lebih baru dan terapkan patch untuk Arista VeloCloud Orchestrator.
Kelemahan Brotli Decoder di Balik Kerentanan RCE Node.js Juga Mempengaruhi Bun, Python, dan Perangkat Lunak Lain yang Banyak Digunakan
Kerentanan kerusakan memori pada dekoder Brotli milik Google terdapat di banyak program yang membongkar data terkompresi Brotli, di antaranya Bun, paket Python Brotli dan brotlicffi, serta proxy Envoy yang diatur untuk mendekompresi Brotli.
- Mengapa ini penting
- Karena setiap aplikasi yang terpengaruh menyertakan salinan dekoder Brotli milik Google sendiri, organisasi yang mengandalkan runtime dan proxy ini harus melacak dan menerapkan pembaruan vendor individual untuk mencegah eksekusi kode.
- Apa yang harus dilakukan
- Perbarui runtime dan paket yang terpengaruh, termasuk dependensi Bun, Envoy, dan Python Brotli, ke versi yang telah diperbaiki.
Google Mengatakan Data Gmail dan Foto yang Dibagikan dengan Pencarian AI Dapat Digunakan untuk Iklan Bertarget
Google memperbarui kebijakan privasinya yang berlaku mulai 16 Oktober 2026, mengklarifikasi bahwa data yang dibagikan dari Google Photos, Gmail, dan Drive dengan fitur AI di Pencarian atau Aplikasi Gemini dapat diproses untuk menayangkan iklan yang ditargetkan.
- Mengapa ini penting
- Pengguna dan organisasi yang mengintegrasikan data pribadi atau data Ruang Kerja ke dalam fitur Google Penelusuran dan AI Gemini dapat mengekspos konten dari Gmail, Foto, dan Drive ke penargetan iklan yang dipersonalisasi.
- Apa yang harus dilakukan
- Tinjau pengaturan privasi akun Google untuk membatasi berbagi data lintas layanan antara aplikasi Workspace dan Search/Gemini.
Para peneliti merilis lebih dari 2 juta pembaruan untuk menonaktifkan pembaruan Popcorn Time dari jarak jauh, yang berpotensi memicu botnet.
Perusahaan keamanan Belanda, Eye Security, melakukan Operasi IXIM, dengan mengeluarkan lebih dari dua juta pembaruan jarak jauh untuk menonaktifkan pembaruan latar belakang yang rentan (Updater.exe) di aplikasi Time4Popcorn yang sudah ditinggalkan. Domain yang tidak terdaftar yang diakses oleh pembaruan tersebut menimbulkan risiko pembajakan untuk botnet skala besar.
- Apa yang harus dilakukan
- Cari dan hapus perangkat lunak lama yang tidak sah seperti Time4Popcorn dan blokir koneksi ke domain pembaruan yang tidak terverifikasi.
Poin-poin utama
- Perbarui implementasi dekoder Brotli di Node.js, Bun, Python, dan Envoy untuk menambal celah kerusakan memori CVE-2026-111497.
- Lakukan patch pada Collabora Online Built-in CODE Server (CVE-2026-110447) dan Arista VeloCloud Orchestrator (CVE-2026-114625) sesuai dengan peringatan CISA.