KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur untuk segera memperbarui peramban Google Chrome menyusul ditemukannya kerentanan kritis pada komponen WebGL yang teridentifikasi dengan nomor CVE-2026-13028. Kerentanan ini memperoleh skor CVSS sebesar 9.6 (Critical) berdasarkan penilaian CISA-ADP pada NVD.

Google Chrome merupakan peramban web yang paling luas digunakan pada hampir seluruh komputer kerja dan perangkat Android di lingkungan Perangkat Daerah. Karena posisinya sebagai gerbang utama akses internet, celah kritis pada Chrome berdampak sangat luas dan wajib ditangani secepatnya.

Ikhtisar

CVE-2026-13028 merupakan kerentanan use-after-free (CWE-416) pada komponen WebGL Google Chrome. Kerentanan ini termasuk salah satu dari empat celah berkategori Critical yang ditambal Google melalui pembaruan Stable Channel Chrome 149.0.7827.196/197 pada 23 Juni 2026, yang secara keseluruhan menutup 18 kerentanan. Eksploitasi hanya membutuhkan korban membuka sebuah halaman HTML yang dirancang khusus, tanpa memerlukan hak istimewa apa pun, sehingga tergolong sangat mudah disalahgunakan.

Dampak

Eksploitasi yang berhasil dapat memberi penyerang konsekuensi sebagai berikut:

• Perusakan memori (memory corruption) pada proses peramban akibat penggunaan memori yang telah dibebaskan.
• Pelolosan diri dari sandbox Chrome (sandbox escape) yang seharusnya mengisolasi konten web dari sistem.
• Potensi eksekusi kode jarak jauh (remote code execution) pada perangkat korban.
• Kompromi lebih lanjut terhadap perangkat korban sebagai kelanjutan dari keberhasilan eksekusi kode oleh penyerang.

Sistem yang Terdampak

Detail Teknis

Kerentanan berakar pada kondisi use-after-free di dalam komponen WebGL, yakni antarmuka pemrograman grafis yang memungkinkan halaman web merender grafik tiga dimensi secara langsung di peramban. Pada kondisi tertentu, Chrome tetap mengacu ke area memori yang sudah dibebaskan, sehingga penyerang dapat mengendalikan isi memori tersebut untuk merusak jalannya program.

Dengan menyusun halaman web berbahaya, penyerang dapat memanfaatkan perusakan memori ini untuk meloloskan diri dari sandbox Chrome dan berpotensi mengeksekusi kode jarak jauh pada perangkat korban. NVD menskopkan CVE-2026-13028 ke Chrome for Android sebelum 149.0.7827.197, namun Google merilis perbaikannya secara serentak untuk Windows, Mac, Linux, dan Android. Pada rilis yang sama, Google juga menambal kerentanan use-after-free WebGL lainnya (CVE-2026-13032) dan use-after-free pada komponen Autofill (CVE-2026-13038). Google menyatakan belum ada indikasi eksploitasi di alam liar, dan kerentanan ini belum masuk katalog Known Exploited Vulnerabilities (KEV) CISA. Meski demikian, celah kritis pada mesin render Chrome secara historis cepat disenjatai sehingga pembaruan tidak boleh ditunda.

Rekomendasi

• Lakukan pembaruan. Perbarui Google Chrome ke versi 149.0.7827.196/.197 (Windows/Mac), 149.0.7827.196 (Linux), atau 149.0.7827.197 (Android) melalui menu chrome://settings/help, lalu tutup dan buka kembali peramban agar pembaruan aktif.
• Aktifkan pembaruan otomatis. Pastikan mekanisme pembaruan otomatis Chrome tidak dinonaktifkan pada seluruh komputer kerja dan perangkat Android.
• Tinjau perangkat Android. Perbarui Chrome pada perangkat seluler dinas melalui Google Play Store hingga mencapai versi 149.0.7827.197 atau lebih baru.
• Waspadai tautan mencurigakan. Ingatkan pegawai untuk tidak membuka tautan atau halaman web tidak tepercaya, karena eksploitasi cukup dipicu dengan membuka halaman berbahaya.
• Pantau aktivitas. Awasi indikasi perilaku tidak wajar pada perangkat yang belum diperbarui dan prioritaskan pemutakhirannya.

Perangkat Daerah yang membutuhkan pendampingan teknis dalam proses pemutakhiran ini dapat menghubungi KUTIM-CSIRT melalui kanal pelaporan resmi.

Referensi

• NVD — CVE-2026-13028
• Google — Stable Channel Update for Desktop
• Chromium — Issue 520656244
• Malwarebytes — Update Chrome to patch critical browser security flaws