Peringatan Keamanan

Publikasi KUTIM-CSIRT

Peringatan Keamanan

Peringatan Keamanan: Dua Kerentanan SonicWall SMA 1000 Series Dieksploitasi Aktif

Adam  ·  16 Sep 2026  ·  KUTIM-SA-2026-062  ·  TLP:CLEAR

Peringatan Keamanan: Dua Kerentanan SonicWall SMA 1000 Series Dieksploitasi Aktif
Sumber: Artikel ini diterbitkan ulang oleh KUTIM-CSIRT berdasarkan Security Advisory (Imbauan Keamanan) yang diedarkan Direktorat Operasi Keamanan Siber BSSN kepada Ketua TTIS Organisasi dan TTIS Sektor pada 15 September 2026. Nomor CVE, skor, dan versi terdampak bersumber dari edaran tersebut beserta lampiran resminya, dan telah kami verifikasi ulang ke NVD, katalog KEV CISA, serta advisory SonicWall. Dokumen asli: Security Advisory CVE-2026-83548 & CVE-2026-83549 Kerentanan pada SonicWall – BSSN/Id-SIRTII.

KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengoperasikan perangkat akses jarak jauh SonicWall Secure Mobile Access (SMA) 1000 Series untuk segera menindaklanjuti CVE-2026-83548 (CVSS 10,0, Critical) dan CVE-2026-83549 (CVSS 7,8, High). Keduanya telah dimasukkan ke katalog Known Exploited Vulnerabilities (KEV) CISA pada 2 September 2026, yang berarti eksploitasinya sudah teramati di dunia nyata.

Ikhtisar

SMA 1000 adalah perangkat gerbang akses jarak jauh (VPN berbasis SSL dan portal akses aplikasi) yang lazim ditempatkan di tepi jaringan sehingga terjangkau dari internet. Advisory SonicWall (SNWLID-2026-0016) memuat dua kerentanan pada perangkat ini:

  • CVE-2026-83548 — Server-Side Request Forgery (SSRF) pra-autentikasi pada antarmuka Appliance Work Place, akibat jalur akses alternatif yang tidak semestinya terbuka (CWE-441 dan CWE-918). Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.
  • CVE-2026-83549 — OS command injection pasca-autentikasi pada Appliance Management Console (AMC) (CWE-78). Vektor: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.
Penegasan skor dan prasyarat: edaran BSSN mencantumkan satu nilai ringkasan “10 – Critical” untuk kedua kerentanan. Menurut NVD, nilai 10,0 hanya berlaku untuk CVE-2026-83548; CVE-2026-83549 berskor 7,8 (High). Selain itu, CVE-2026-83549 hanya dapat dieksploitasi oleh penyerang yang sudah memiliki akun administrator pada konsol pengelolaan, sedangkan CVE-2026-83548 tidak memerlukan akun apa pun. Pada praktiknya, kerentanan pertama dapat membuka jalan bagi penyerang untuk mencapai fungsi yang semestinya hanya tersedia bagi pengguna terautentikasi, sehingga keduanya tetap perlu ditangani bersamaan.

Dampak

  • Penyerang jarak jauh tanpa akun dapat memanfaatkan CVE-2026-83548 untuk mengakses fungsi sensitif pada perangkat dan memerintahkan perangkat mengirim permintaan ke sumber daya lain di jaringan kantor yang tidak seharusnya terjangkau dari luar.
  • Dengan CVE-2026-83549, penyerang berhak administrator dapat menjalankan perintah sistem operasi dan memperoleh remote code execution pada perangkat.
  • Cakupan dampak pada CVE-2026-83548 ditandai S:C (scope changed) dengan kerahasiaan, integritas, dan ketersediaan sama-sama terdampak penuh, sehingga kompromi gerbang VPN dapat berimbas ke sistem lain di belakangnya.
  • Perangkat gerbang akses jarak jauh yang berhasil dikuasai lazim dipakai sebagai pijakan untuk menyusup ke jaringan yang lebih dalam.

Sistem yang Terdampak

ProdukVersi TerdampakVersi Perbaikan
SonicWall SMA 6210, SMA 7210, dan SMA 8200v (firmware cabang 12.4.3)Semua versi sebelum 12.4.3-0352612.4.3-03526 atau lebih baru
SonicWall SMA 6210, SMA 7210, dan SMA 8200v (firmware cabang 12.5.0)12.5.0 hingga versi sebelum 12.5.0-0295212.5.0-02952 atau lebih baru

Detail Teknis

CVE-2026-83548 berasal dari adanya jalur akses alternatif yang tidak dimaksudkan pada antarmuka Work Place, portal yang dipakai pengguna untuk mengakses aplikasi melalui perangkat. Jalur tersebut membuat perangkat dapat dipakai sebagai perantara permintaan tanpa melewati pemeriksaan autentikasi. Karena antarmuka ini umumnya terbuka ke internet, permukaan serangannya luas.

CVE-2026-83549 terjadi karena masukan pada konsol pengelolaan (AMC) tidak disaring dengan memadai sebelum diteruskan ke perintah sistem operasi. NVD mencatat kondisi eksploitasinya bersifat khusus dan memerlukan akun administrator. Rincian teknis yang lebih dalam tidak kami muat karena dapat langsung dimanfaatkan terhadap perangkat yang belum diperbarui.

Rekomendasi

  1. Inventarisasi perangkat SMA 1000 (model 6210, 7210, 8200v) yang dioperasikan instansi, lalu periksa versi firmware yang berjalan melalui konsol pengelolaan.
  2. Perbarui firmware ke 12.4.3-03526 atau 12.5.0-02952 (atau yang lebih baru) sesuai cabang yang dipakai, mengikuti advisory SonicWall SNWLID-2026-0016.
  3. Batasi akses ke antarmuka Work Place dari jaringan publik yang tidak tepercaya selama pembaruan belum dapat diterapkan.
  4. Batasi akses ke konsol pengelolaan (AMC) hanya dari jaringan pengelola yang aman dan tepercaya; konsol pengelolaan tidak boleh terjangkau dari internet.
  5. Karena eksploitasi sudah teramati di dunia nyata, periksa kemungkinan perangkat telah disusupi sebelum diperbarui: tinjau log akses dan log pengelolaan, akun administrator yang tidak dikenal, perubahan konfigurasi, serta koneksi keluar yang tidak lazim dari perangkat. Pembaruan firmware menutup celah tetapi tidak menghapus akses yang sudah terlanjur diperoleh penyerang.
  6. Bila ditemukan indikasi kompromi, ganti kata sandi dan kredensial yang tersimpan atau dilewatkan melalui perangkat, lalu laporkan ke KUTIM-CSIRT melalui kanal pelaporan resmi.

Catatan Status Eksploitasi

CVE-2026-83548 dan CVE-2026-83549 tercatat dalam katalog KEV CISA sejak 2 September 2026, sehingga eksploitasi aktif sudah dikonfirmasi. Lembaga yang mengelola KEV menetapkan tenggat penambalan yang sangat singkat untuk kedua CVE ini. Instansi yang mengoperasikan SMA 1000 sebaiknya memperlakukan pembaruan ini sebagai prioritas tertinggi.

Referensi

Kembali ke Artikel