KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengoperasikan aplikasi berbasis Apache Tomcat untuk segera menindaklanjuti kerentanan yang teridentifikasi sebagai CVE-2026-34486. Kerentanan ini memperoleh skor CVSS 7.5 (High) dan telah dimasukkan ke dalam katalog Known Exploited Vulnerabilities (KEV) CISA pada 4 Agustus 2026, yang berarti eksploitasinya sudah teramati di dunia nyata, bukan sekadar potensi teoretis.

Kasus ini memuat pelajaran penting: kerentanan muncul justru sebagai akibat dari perbaikan kerentanan sebelumnya (CVE-2026-29146). Menerapkan tambalan tetap merupakan tindakan yang benar, namun proses pemutakhiran perlu disertai pemantauan advisory lanjutan, bukan dianggap selesai begitu tambalan terpasang.

Ikhtisar

CVE-2026-34486 adalah kerentanan Missing Encryption of Sensitive Data (CWE-311, CWE-807) dengan vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N. Perbaikan yang diterapkan untuk CVE-2026-29146 ternyata memungkinkan pelewatan EncryptInterceptor.

EncryptInterceptor bertugas mengenkripsi komunikasi antaranggota klaster Tomcat. Bila komponen ini dapat dilewati, lalu lintas yang semestinya terenkripsi berpindah dalam keadaan terbuka.

Dampak

• Data sensitif yang dipertukarkan antaranggota klaster Tomcat berpindah tanpa enkripsi dan dapat disadap oleh pihak yang mampu mengamati lalu lintas jaringan.
• Paparan isi sesi pengguna yang direplikasi antaranggota klaster, termasuk pengenal sesi yang dapat dipakai untuk pembajakan sesi.
• CISA mencatat kerentanan ini dapat dirantai dengan CVE-2025-24813, sehingga dampaknya berpotensi melampaui sekadar penyadapan.
• Aspek kerahasiaan terdampak tinggi; integritas dan ketersediaan tidak terdampak langsung.

Sistem yang Terdampak

Red Hat JBoss Web Server serta paket Tomcat pada Red Hat Enterprise Linux 8 dan 9 turut terdampak; ikuti advisory Red Hat yang berlaku.

Detail Teknis

Tomcat menyediakan EncryptInterceptor pada lapisan komunikasi klaster untuk mengenkripsi pesan yang dipertukarkan antaranggota. Penyesuaian kode yang dilakukan untuk menutup CVE-2026-29146 mengubah alur pemrosesan sedemikian rupa sehingga enkripsi dapat tidak diterapkan pada kondisi tertentu.

Perlu ditegaskan bahwa kerentanan ini hanya relevan bagi instalasi yang benar-benar menjalankan klaster Tomcat dengan EncryptInterceptor. Instalasi Tomcat tunggal tanpa klaster tidak terdampak oleh cacat ini — namun pemutakhiran tetap dianjurkan karena rilis perbaikan juga memuat perbaikan lain.

Rekomendasi

1. Perbarui Apache Tomcat ke versi 11.0.21, 10.1.54, atau 9.0.117 sesuai jalur versi yang digunakan.
2. Identifikasi aplikasi mana saja di lingkungan Perangkat Daerah yang berjalan di atas Tomcat — Tomcat sering tertanam di dalam produk pihak ketiga sehingga tidak selalu tampak dalam inventaris.
3. Pastikan lalu lintas antaranggota klaster Tomcat berada pada segmen jaringan terisolasi, sehingga enkripsi bukan satu-satunya lapisan perlindungan.
4. Jangan pernah mengekspos porta komunikasi klaster Tomcat ke jaringan publik.
5. Setelah menerapkan tambalan, verifikasi bahwa EncryptInterceptor benar-benar aktif melalui pengujian, bukan sekadar dengan membaca berkas konfigurasi.

Referensi

• NVD – CVE-2026-34486
• CISA Known Exploited Vulnerabilities Catalog
• Apache Tomcat Security Advisories

Perangkat Daerah yang menemukan indikasi kompromi pada sistemnya dapat segera menghubungi KUTIM-CSIRT melalui kanal pelaporan resmi di halaman Lapor Insiden. Penanganan dini menekan dampak secara signifikan.