KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengelola server atau komputer berbasis Linux untuk segera memeriksa kernel yang sedang berjalan dan menindaklanjuti lima kerentanan kernel Linux yang kini dieksploitasi secara aktif. Kelimanya telah dimasukkan ke dalam katalog Known Exploited Vulnerabilities (KEV) CISA: CVE-2022-0995 pada 26 Agustus 2026, CVE-2026-53362 pada 27 Agustus 2026, serta CVE-2025-39964, CVE-2026-53266 dan CVE-2025-39682 pada 18 September 2026. Masuk ke KEV berarti eksploitasinya sudah teramati di dunia nyata, bukan sekadar potensi teoretis.

Langkah penanganan berbeda menurut distribusi dan versi. Untuk sebagian kombinasi sudah ada kernel perbaikan, sedangkan untuk kombinasi lain vendor belum merilisnya. Bagian Sistem yang Terdampak merinci keadaan masing-masing, dan bagian Rekomendasi menjelaskan apa yang dapat dilakukan bila kernel perbaikan belum tersedia.

Ikhtisar

Kelima kerentanan berada di dalam kernel Linux. Empat di antaranya hanya dapat dipicu oleh pengguna yang sudah memiliki akses lokal ke server (skor CVSS 7,8 hingga 8,8), sedangkan CVE-2025-39682 dapat dipicu lewat jaringan (skor 9,8). Dampak utamanya adalah privilege escalation, yaitu pengguna biasa atau proses yang sudah dikuasai penyerang naik menjadi administrator (root). Pada server yang menjalankan banyak akun, layanan web, atau kontainer, celah seperti ini sering dipakai sebagai langkah kedua setelah penyerang mendapat pijakan awal, misalnya lewat aplikasi web yang bobol.

• CVE-2022-0995: penulisan memori di luar batas pada subsistem notifikasi peristiwa watch_queue. Dapat memberi hak istimewa atau membuat sistem berhenti bekerja.
• CVE-2026-53362: kesalahan perhitungan penyangga pada jalur pengiriman data IPv6 sehingga data tertulis melewati batas. CISA menggolongkannya sebagai celah privilege escalation.
• CVE-2025-39964: race condition pada antarmuka kripto AF_ALG bila dua penulisan terjadi bersamaan pada satu soket, sehingga status soket menjadi tidak konsisten.
• CVE-2026-53266: penulisan memori di luar batas pada target SNAT ebtables (penyaringan paket pada bridge). Hanya berlaku bila aturan bridge netfilter tertentu dikonfigurasi.
• CVE-2025-39682: pemeriksaan yang kurang tepat pada jalur penerimaan kernel TLS (kTLS). Skor NVD 9,8 karena dapat dipicu lewat jaringan, tetapi hanya bila fitur kTLS dipakai.

Catatan CISA pada CVE-2026-53266 dan CVE-2025-39682 menyebutkan bahwa produk terdampak dapat berupa versi yang sudah mencapai akhir masa dukungan (end-of-life). Pengguna kernel semacam itu disarankan beralih ke versi yang masih didukung.

Dampak

• Pengambilalihan penuh server. Penyerang lokal dapat menaikkan hak akses menjadi root, lalu membaca, mengubah, atau menghapus seluruh data dan menanam akses tersembunyi.
• Rantai serangan setelah aplikasi web bobol. Bila sebuah situs atau aplikasi di server yang sama berhasil diretas dan menjalankan kode sebagai pengguna layanan, celah kernel memungkinkan serangan meluas ke seluruh server.
• Gangguan layanan. Kerusakan memori kernel dapat berujung pada kernel panic, yaitu server berhenti mendadak dan harus dinyalakan ulang.
• Lolos dari isolasi. Pada server dengan banyak pengguna atau kontainer, kernel yang rentan melemahkan pemisahan antarpengguna dan antarkontainer.
• CVE-2025-39682 dapat dipicu dari jaringan, tetapi hanya pada server yang memakai kernel TLS.

Sistem yang Terdampak

Tabel pertama memuat rentang versi kernel upstream menurut NVD. Distribusi Linux kerap membawa perbaikan ke kernel versi lama (backport) tanpa mengubah nomor versi utamanya, sehingga keputusan akhir harus memakai tabel status distribusi di bawahnya, bukan nomor versi upstream saja.

Status perbaikan distribusi per 19 September 2026. Kolom Ubuntu mengacu pada paket kernel linux (kernel generic) kecuali disebut lain. Kolom AlmaLinux mengikuti kernel RHEL yang menjadi dasarnya.

Ubuntu 20.04 LTS dan 18.04 LTS berada pada fase dukungan lanjutan (Ubuntu Pro/ESM), sehingga perbaikan untuk keduanya hanya tersedia bagi pelanggan layanan tersebut.

Rincian CVE

Detail Teknis

Mengapa celah lokal tetap serius. Empat dari lima CVE memerlukan akses lokal (vektor AV:L). Bagi server yang hanya dikelola oleh administrator tepercaya, risikonya memang lebih rendah. Namun server yang menampung banyak situs, banyak akun pengguna, kontainer, atau aplikasi yang menerima unggahan dari luar menghadapi risiko yang berbeda, karena satu aplikasi yang bobol sudah cukup untuk memberi penyerang pijakan lokal.

CVE-2026-53266 bergantung pada konfigurasi. Celah ini hanya terjangkau bila server memakai bridge dengan aturan ebtables SNAT yang menulis ulang alamat ARP. Red Hat mencatat bahwa dampaknya terbatas pada sistem dengan konfigurasi jaringan khusus semacam itu.

CVE-2025-39682 bergantung pada fitur. Celah ini hanya relevan bila kernel TLS (kTLS) diaktifkan dan dipasang pada soket TCP. Sebagian besar server web biasa tidak memakai fitur ini, tetapi sebagian perangkat lunak berkinerja tinggi memakainya.

CVE-2025-39964 dan perbaikan yang bertahap. Pada tanggal artikel ini terbit, kernel perbaikan untuk AlmaLinux 8, 9 dan 10 belum dirilis, sedangkan Ubuntu dan Debian sudah memilikinya. Karena itu pemeriksaan perlu dilakukan per distribusi, tidak cukup berdasarkan nomor CVE.

Rekomendasi

1. Inventarisasi kernel yang sedang berjalan. Jalankan uname -r pada setiap server Linux dan catat distribusi serta versinya. Yang dihitung adalah kernel yang berjalan, bukan sekadar yang terpasang.
2. Pasang kernel perbaikan bila sudah tersedia untuk distribusi Anda sesuai tabel status di atas. Pada Ubuntu dan Debian gunakan pembaruan paket kernel dari repositori resmi. Pada AlmaLinux gunakan dnf update kernel untuk kerentanan yang sudah memiliki errata.
3. Nyalakan ulang server setelah memasang kernel baru. Perbaikan kernel baru berlaku setelah reboot. Server yang sudah memasang paket tetapi belum dinyalakan ulang masih menjalankan kernel lama yang rentan. Bandingkan uname -r dengan versi perbaikan, dan jadwalkan reboot pada jam beban rendah dengan cadangan (snapshot) tersedia sebelumnya.
4. Bila kernel perbaikan belum tersedia, jangan menganggap pembaruan rutin sudah menutup celah. Ini berlaku untuk CVE-2025-39964 pada AlmaLinux 8, 9 dan 10, CVE-2026-53266 pada AlmaLinux 10, serta kernel generic Ubuntu 24.04 LTS dan kernel HWE Ubuntu 22.04 LTS untuk CVE-2026-53362. Pantau Ubuntu Security Notices dan errata AlmaLinux, lalu pasang dan nyalakan ulang segera setelah terbit.
5. Terapkan mitigasi sementara dari vendor bila relevan.
   • CVE-2026-53266: Red Hat menyarankan menonaktifkan penulisan ulang alamat ARP pada aturan ebtables SNAT, atau menghapus aturan SNAT yang memproses lalu lintas ARP pada antarmuka bridge.
   • CVE-2025-39682: Red Hat menyarankan mencegah pemuatan modul tls bila kernel TLS tidak dipakai. Periksa dahulu bahwa tidak ada aplikasi yang membutuhkannya.
   • CVE-2025-39964: Red Hat menyatakan belum ada mitigasi yang memenuhi kriterianya, sehingga langkah utamanya adalah memasang kernel perbaikan begitu tersedia.
6. Batasi akses lokal pada server yang rentan. Kurangi akun pengguna yang tidak diperlukan, tinjau akun dengan hak sudo, dan pastikan aplikasi web dijalankan dengan akun layanan berhak minimal. Dengan begitu penyerang yang berhasil masuk lewat aplikasi lebih sulit mencapai kernel.
7. Pantau tanda kompromi, misalnya akun administrator baru yang tidak dikenal, tugas terjadwal (cron) yang tidak dikenal, proses yang berjalan sebagai root dari direktori sementara, atau server yang memuat ulang sendiri tanpa jadwal.
8. Ganti kernel yang sudah habis masa dukungannya. Server yang memakai distribusi atau kernel di luar masa dukungan tidak akan menerima perbaikan, sehingga perlu direncanakan migrasi.

Perangkat Daerah yang membutuhkan pendampingan dapat menghubungi KUTIM-CSIRT melalui csirt@kutaitimurkab.go.id atau kanal pelaporan resmi.

Catatan Status Eksploitasi

Kelima CVE ini tercatat dieksploitasi secara aktif menurut katalog KEV CISA: CVE-2022-0995 ditambahkan pada 26 Agustus 2026, CVE-2026-53362 pada 27 Agustus 2026, dan CVE-2025-39964, CVE-2026-53266 serta CVE-2025-39682 pada 18 September 2026. Status penggunaan oleh kelompok ransomware tercatat Unknown (belum diketahui) untuk kelimanya, dan katalog tidak memuat rincian pelaku maupun caranya. CISA meminta penerapan mitigasi sesuai arahan vendor, dan Perangkat Daerah sebaiknya memperlakukan kelimanya dengan prioritas serupa.

Referensi

• CISA – Known Exploited Vulnerabilities Catalog
• NVD – CVE-2022-0995
• NVD – CVE-2026-53362
• NVD – CVE-2025-39964
• NVD – CVE-2026-53266
• NVD – CVE-2025-39682
• Ubuntu Security – CVE-2026-53362 (CVE lain mengikuti pola alamat yang sama) dan USN-8726-1
• Red Hat – CVE-2026-53362 (CVE lain mengikuti pola alamat yang sama)
• AlmaLinux Errata (ALSA-2026:34911 untuk AlmaLinux 10)
• Debian Security Tracker – CVE-2026-53362 (CVE lain mengikuti pola alamat yang sama)