KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengelola toko daring atau portal berbasis Adobe Commerce atau Magento Open Source untuk segera menerapkan perbaikan atas dua kerentanan kritis: CVE-2026-75650 (CVSS 10,0, template injection) dan CVE-2026-71362 (CVSS 9,1, incorrect authorization). Keduanya tercatat di katalog Known Exploited Vulnerabilities (KEV) CISA, masing-masing sejak 8 September 2026 dan 24 September 2026, sehingga eksploitasinya sudah teramati di dunia nyata.

Ikhtisar

• CVE-2026-75650 (Adobe APSB26-146) — Improper Neutralization of Special Elements Used in a Template Engine (CWE-1336), vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Penyerang tanpa autentikasi dan tanpa interaksi pengguna dapat mengeksekusi kode sembarang di server, dengan cakupan dampak yang meluas (scope changed).
• CVE-2026-71362 (Adobe APSB26-92) — Incorrect Authorization (CWE-863), vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Penyerang tanpa autentikasi dapat memperoleh akses tinggi ke sumber daya sensitif, tanpa interaksi pengguna.

Kedua kerentanan ditangani lewat mekanisme berbeda sehingga pembaruan rutin saja tidak cukup. CVE-2026-71362 ditutup oleh patch level Agustus 2026, sedangkan CVE-2026-75650 memengaruhi toko yang sudah berada di patch level Agustus 2026 dan ditutup oleh hotfix terpisah.

Dampak

• Eksekusi kode di server toko, yang membuka jalan bagi pemasangan backdoor atau webshell, pencurian berkas konfigurasi, dan pengambilalihan toko sepenuhnya.
• Akses ke data pelanggan, pesanan, dan konfigurasi toko, serta fungsi administratif yang seharusnya terbatas.
• Kunci enkripsi dan kredensial yang tersimpan di konfigurasi, termasuk kredensial penyedia pembayaran, berisiko bocor.
• Pada toko yang memproses transaksi, penyusupan dapat berujung pada pencurian data pembayaran.

Sistem yang Terdampak

Adobe menamai versi dengan sufiks patch level bulanan, misalnya 2.4.9-2026-aug. Untuk CVE-2026-75650, perbaikan dikirim sebagai hotfix yang dipasang di atas patch level Agustus 2026, bukan sebagai rilis baru. Pada instalasi Adobe Commerce di infrastruktur cloud, ikuti prosedur penerapan hotfix yang dijelaskan dalam bulletin Adobe.

Detail Teknis

CVE-2026-75650 berasal dari penyaringan masukan yang kurang memadai pada mesin templat (template engine) yang dipakai Adobe Commerce, sehingga masukan yang dirancang khusus dapat ditafsirkan sebagai instruksi templat dan berujung pada eksekusi kode di server. CVE-2026-71362 berasal dari pemeriksaan otorisasi yang diterapkan secara keliru: sistem memeriksa hak akses, tetapi pemeriksaannya dapat dilewati sehingga sumber daya terbatas dapat diakses.

Kedua kerentanan dapat dijangkau dari internet tanpa akun. Rincian teknis lebih dalam tidak dimuat di sini.

Rekomendasi

1. Inventarisasi seluruh instalasi Adobe Commerce dan Magento, termasuk yang dikelola pihak ketiga atau penyedia hosting, dan catat patch level masing-masing.
2. Pasang patch level Agustus 2026 (atau lebih baru) untuk menutup CVE-2026-71362, kemudian pasang hotfix APSB26-146 untuk menutup CVE-2026-75650. Uji di lingkungan staging terlebih dahulu; Adobe menguji hotfix tersebut terhadap patch level Agustus 2026.
3. Setelah pemasangan, verifikasi bahwa hotfix terpasang menurut instruksi bulletin Adobe.
4. Anggap toko yang terekspos ke internet sebelum penambalan mungkin sudah disusupi. Periksa berkas baru atau yang berubah pada direktori aplikasi, akun administrator yang tidak dikenal, tugas terjadwal (cron) yang tidak dikenal, dan log web server untuk permintaan tidak lazim.
5. Setelah penambalan, ganti kunci enkripsi dan seluruh kredensial yang tersimpan di konfigurasi, termasuk kata sandi basis data, akun administrator, dan kredensial penyedia pembayaran. Mengganti kunci enkripsi saja tidak membatalkan kredensial yang mungkin sudah diambil, sehingga kredensial di sisi penyedia pembayaran juga perlu diganti.
6. Batasi akses ke antarmuka administrasi toko hanya dari alamat tepercaya.
7. Laporkan indikasi kompromi melalui kanal pelaporan resmi atau ke csirt@kutaitimurkab.go.id.

Catatan Status Eksploitasi

Kedua CVE tercatat di katalog KEV CISA: CVE-2026-75650 sejak 8 September 2026 dan CVE-2026-71362 sejak 24 September 2026. Penambahan ke KEV berarti eksploitasi telah teramati di dunia nyata. Penambalan menutup celah tetapi tidak menghapus penyusupan yang telah terjadi, sehingga pemeriksaan terhadap tanda kompromi tetap diperlukan.

Rincian CVE

Referensi

• Adobe – Security Bulletin APSB26-146
• Adobe – Security Bulletin APSB26-92
• NVD – CVE-2026-75650
• NVD – CVE-2026-71362
• CISA Known Exploited Vulnerabilities Catalog