KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengoperasikan aplikasi di atas Apache Tomcat (servlet container untuk aplikasi web berbasis Java) untuk segera memperbarui ke rilis 11.0.26, 10.1.60, atau 9.0.122. Empat kerentanan, yaitu CVE-2026-86248, CVE-2026-76183, CVE-2026-65905, dan CVE-2026-65637, masing-masing tercatat di NVD dengan skor CVSS 9,8 (Critical) dan seluruhnya menyangkut pemeriksaan identitas atau pembatasan akses.

Tomcat banyak dipakai sebagai mesin aplikasi pemerintahan berbasis Java, dan sering ikut terpasang di dalam produk pihak ketiga tanpa disadari pengelolanya. Karena itu pemeriksaan tidak cukup berhenti pada server yang dipasang sendiri; periksa juga aplikasi vendor yang membawa Tomcat sendiri.

Ikhtisar

Keempat CVE diumumkan dalam dua gelombang oleh tim keamanan Apache Tomcat. Dua CVE dipublikasikan pada 25 Agustus 2026 dan dua lainnya pada 23 September 2026. Semuanya berskor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H pada NVD, yakni dapat dijangkau dari jaringan, tanpa hak akses, dan tanpa interaksi pengguna.

• CVE-2026-86248 (CWE-287): autentikasi CLIENT_CERT tidak gagal sebagaimana mestinya pada sebagian skenario ketika soft fail OCSP dinonaktifkan. Ini adalah perbaikan lanjutan atas CVE-2026-34500 yang ternyata belum tuntas.
• CVE-2026-76183 (CWE-289): pembatasan keamanan (security constraint) pada endpoint WebSocket dapat dilewati karena jalur permintaan salah diurai sebagai templat endpoint.
• CVE-2026-65905 (CWE-294): serangan replay terbatas pada autentikasi DIGEST.
• CVE-2026-65637 (CWE-20): validasi masukan yang tidak memadai karena perbaikan CVE-2026-32990 belum lengkap; pada rincian Tomcat, pemeriksaan strict SNI dapat dilewati melalui permintaan HTTP/2 tanpa authority.

Dampak

• Autentikasi dan otorisasi tidak lagi dapat diandalkan. Pada konfigurasi yang terdampak, penyerang dapat mengakses sumber daya yang seharusnya hanya terbuka bagi pengguna terautentikasi, termasuk endpoint WebSocket yang dilindungi security constraint.
• Pada aplikasi yang memakai sertifikat klien (CLIENT_CERT) untuk membedakan pengguna tepercaya, sertifikat yang seharusnya ditolak karena pemeriksaan pencabutan gagal berpotensi tetap diterima.
• Aplikasi yang melindungi data kepegawaian, perizinan, atau layanan publik dengan mekanisme di atas berisiko mengalami akses data tanpa izin dan perubahan data (vektor C:H/I:H/A:H).
• Dampak CVE-2026-65905 dan CVE-2026-65637 lebih terbatas menurut vendor, tetapi tetap membuka celah yang dapat dirangkai dengan kelemahan lain pada aplikasi yang sama.

Sistem yang Terdampak

Cabang 8.5 dan 7.0 sudah tidak dirilis ulang oleh Apache. NVD mencatat keduanya terdampak, dan versi tak didukung lain mungkin juga terdampak. Rilis 11.0.26, 10.1.60, dan 9.0.122 memuat perbaikan untuk keempat CVE sekaligus.

Rincian CVE

Pada cabang 10.1, NVD menyebut 10.1.58 sebagai versi perbaikan CVE-2026-65905 dan CVE-2026-65637. Menurut halaman keamanan Tomcat 10, pemungutan suara rilis 10.1.58 tidak lolos, sehingga versi yang memuat perbaikan tersebut adalah 10.1.59. Dengan memakai 10.1.60, pertanyaan ini tidak relevan lagi.

Detail Teknis

Dua CVE gelombang 23 September 2026. CVE-2026-86248 adalah kelanjutan dari CVE-2026-34500 yang diumumkan pada April 2026. Pada pemeriksaan sertifikat klien, Tomcat dapat memeriksa pencabutan sertifikat melalui OCSP. Bila pemeriksaan itu gagal dan opsi soft fail dimatikan, koneksi seharusnya ditolak. Pada sebagian skenario pada penggunaan FFM (Foreign Function & Memory), koneksi tetap diterima. Administrator yang tidak memakai autentikasi sertifikat klien tidak terpengaruh oleh CVE ini.

CVE-2026-76183 berada pada cara Tomcat mencocokkan jalur permintaan dengan templat endpoint WebSocket. Jalur yang dibentuk dengan cara tertentu dikenali sebagai endpoint lain, sehingga security constraint yang dipasang pada endpoint sebenarnya tidak berlaku. Hanya aplikasi yang memakai WebSocket dengan pembatasan akses yang terpengaruh.

Dua CVE gelombang 25 Agustus 2026. CVE-2026-65905 memerlukan keadaan yang sangat spesifik: klien mengirim permintaan DIGEST pada batas atas jendela replay sebelum jumlah permintaan mencapai windowSize. Permintaan itu hanya dapat diputar ulang satu kali, itulah sebabnya Tomcat menilainya Low. CVE-2026-65637 adalah perbaikan CVE-2026-32990 yang tidak lengkap, yakni validasi nama SNI terhadap nama host yang dapat dilewati pada permintaan HTTP/2 tanpa authority.

Rincian teknis yang lebih dalam tidak dimuat di sini karena dapat langsung dimanfaatkan terhadap server yang belum diperbarui.

Rekomendasi

1. Inventarisasi seluruh instalasi Tomcat, termasuk yang tertanam dalam aplikasi vendor. Versi dapat dilihat dari baris Server version pada keluaran version.sh (atau version.bat di Windows) di direktori bin, atau dari berkas RELEASE-NOTES pada direktori instalasi.
2. Perbarui ke Apache Tomcat 11.0.26, 10.1.60, atau 9.0.122 (atau lebih baru) sesuai cabang yang dipakai. Satu pembaruan ini menutup keempat CVE; tidak perlu berhenti di rilis perantara.
3. Untuk aplikasi vendor yang membawa Tomcat sendiri, minta vendor menerbitkan pembaruan yang memuat salah satu rilis di atas, dan jadwalkan penerapannya.
4. Bagi Tomcat 8.5 dan 7.0, susun rencana migrasi ke cabang yang masih didukung karena tambalan tidak akan tersedia.
5. Bila pembaruan belum dapat dilakukan segera, periksa penggunaan fitur terdampak: autentikasi CLIENT_CERT dengan OCSP, WebSocket dengan security constraint, dan autentikasi DIGEST. Pertimbangkan untuk tidak mengandalkan satu lapisan itu sebagai satu-satunya pengaman, misalnya dengan menambahkan autentikasi di tingkat aplikasi atau pembatasan alamat sumber pada reverse proxy.
6. Batasi akses ke Manager dan Host Manager Tomcat serta konektor AJP agar hanya dapat dijangkau dari jaringan pengelola, bukan dari internet.
7. Tinjau log akses untuk permintaan ke endpoint yang dilindungi dari alamat atau akun yang tidak lazim, lalu laporkan melalui kanal pelaporan resmi bila ditemukan indikasi akses tidak sah.

Catatan Status Eksploitasi

Berdasarkan pemeriksaan terhadap katalog Known Exploited Vulnerabilities (KEV) CISA, keempat CVE ini belum tercatat sedang dieksploitasi secara aktif per 24 September 2026. Penilaian SSVC yang tercantum pada NVD juga mencatat status eksploitasi none, dengan penanda automatable: yes dan technical impact: total. Artinya belum ada eksploitasi yang diketahui, tetapi serangan dapat diotomatisasi dan dampaknya penuh bila berhasil. Kerentanan Tomcat sebelumnya pernah dimasukkan ke KEV (misalnya CVE-2026-34486 pada 4 Agustus 2026), sehingga status "belum tercatat" tidak boleh dijadikan alasan menunda pembaruan.

Referensi

• Apache Tomcat 11 – Security vulnerabilities
• Apache Tomcat 10 – Security vulnerabilities
• Apache Tomcat 9 – Security vulnerabilities
• NVD – CVE-2026-86248
• NVD – CVE-2026-76183
• NVD – CVE-2026-65905
• NVD – CVE-2026-65637
• Pengumuman Apache – CVE-2026-86248
• Pengumuman Apache – CVE-2026-76183
• Pengumuman Apache – CVE-2026-65905
• Pengumuman Apache – CVE-2026-65637
• CISA Known Exploited Vulnerabilities Catalog