KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengoperasikan Oracle HTTP Server atau Oracle WebLogic Server Proxy Plug-in untuk segera menindaklanjuti kerentanan CVE-2026-21962. Kerentanan ini memperoleh skor CVSS 10,0 (Critical) — nilai tertinggi yang mungkin diberikan — dan telah masuk katalog Known Exploited Vulnerabilities (KEV) CISA pada 24 Agustus 2026. Artinya eksploitasinya sudah teramati di dunia nyata, bukan sekadar potensi teoretis.

Oracle HTTP Server umum dipakai sebagai lapisan reverse proxy di depan aplikasi Oracle Fusion Middleware, termasuk sistem kepegawaian, keuangan, dan perizinan. Karena posisinya berada di gerbang terdepan, kompromi pada komponen ini membuka jalan ke seluruh aplikasi yang berada di belakangnya.

Ikhtisar

CVE-2026-21962 adalah kerentanan Improper Access Control (CWE-284) dengan vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N. Kombinasi AV:N (dapat dieksploitasi dari jaringan), AC:L (kompleksitas rendah), PR:N (tanpa perlu hak akses apa pun), dan UI:N (tanpa interaksi pengguna) adalah kombinasi terburuk yang mungkin terjadi: penyerang cukup mengirim permintaan HTTP dari internet. Nilai S:C (scope changed) menandakan dampaknya melampaui batas komponen yang rentan.

Akar masalahnya, komponen WebLogic Server Proxy Plug-in tidak menerapkan mekanisme kontrol akses secara tepat terhadap permintaan HTTP yang masuk pada lapisan proxy. Akibatnya, batas akses terhadap sumber daya yang dilindungi tidak dapat diberlakukan sebagaimana mestinya.

Dampak

• Penyerang jarak jauh tanpa autentikasi dapat mengakses sumber daya yang seharusnya menuntut kredensial.
• Pembacaan seluruh data yang dapat dijangkau oleh proxy plug-in — termasuk data yang bersifat terbatas pada aplikasi di belakangnya.
• Pembuatan, modifikasi, hingga penghapusan data tersebut, sehingga integritas basis data layanan publik tidak lagi dapat dipertanggungjawabkan.
• Dampak berpotensi meluas ke produk lain dalam rangkaian Oracle Fusion Middleware yang berbagi jalur proxy yang sama.
• Karena tercatat di katalog KEV CISA, sistem yang belum ditambal harus diperlakukan sebagai sasaran yang sedang aktif dipindai.

Sistem yang Terdampak

Oracle mendistribusikan perbaikan melalui Critical Patch Update, bukan melalui penomoran versi baru. Karena itu kolom perbaikan merujuk pada paket tambalan, bukan nomor versi.

Detail Teknis

WebLogic Server Proxy Plug-in berfungsi meneruskan permintaan dari web server terdepan — baik Apache HTTP Server maupun Microsoft IIS — menuju WebLogic Server di belakangnya. Dalam arsitektur seperti ini, kontrol akses lazimnya ditegakkan pada lapisan proxy sebelum permintaan diteruskan ke dalam.

Kegagalan penegakan kontrol akses pada lapisan tersebut membuat permintaan yang seharusnya ditolak justru diteruskan ke sumber daya terlindungi. Penyerang tidak perlu menembus autentikasi, melainkan cukup melewatinya. Inilah alasan skornya mencapai 10,0: tidak ada satu pun prasyarat yang harus dipenuhi penyerang, dan cakupan dampaknya berubah (scope changed) karena komponen yang rentan memberi akses ke komponen lain yang berbeda wewenang keamanannya.

CVE ini pertama kali dipublikasikan pada 20 Januari 2026 melalui Oracle Critical Patch Update Januari 2026. Masuknya ke katalog KEV CISA pada 24 Agustus 2026 — dengan tenggat penanganan 27 Agustus 2026 bagi lembaga federal AS — menandai perubahan status dari kerentanan yang telah ditambal menjadi kerentanan yang terbukti dieksploitasi. Perubahan status inilah yang melatarbelakangi edaran BSSN.

Rekomendasi

1. Terapkan security patch Oracle Critical Patch Update Januari 2026 pada seluruh instalasi Oracle HTTP Server dan WebLogic Server Proxy Plug-in. Ini adalah langkah utama dan tidak tergantikan.
2. Lakukan inventarisasi: pastikan tidak ada instalasi Oracle HTTP Server yang terlupakan, khususnya pada sistem warisan yang masih melayani aplikasi lama.
3. Batasi pemaparan antarmuka administratif Fusion Middleware agar tidak dapat dijangkau langsung dari internet.
4. Telusuri log akses proxy sejak Januari 2026 untuk permintaan menuju jalur (path) terlindungi yang berbalas HTTP 200 tanpa disertai proses autentikasi yang sah.
5. Bila ditemukan indikasi akses tidak sah, perlakukan sebagai insiden: isolasi sistem, kumpulkan bukti forensik sebelum melakukan pemulihan, dan laporkan ke KUTIM-CSIRT.
6. Terapkan prinsip least privilege dan segmentasi jaringan agar dampak eksploitasi tidak menyebar ke sistem lain.

Referensi

• BSSN/Id-SIRTII – Security Advisory CVE-2026-21962 pada Oracle HTTP Server (edaran sumber)
• NVD – CVE-2026-21962
• CISA Known Exploited Vulnerabilities Catalog
• Oracle Critical Patch Update Advisory – Januari 2026

Perangkat Daerah yang menemukan indikasi kompromi pada sistemnya dapat segera menghubungi KUTIM-CSIRT melalui kanal pelaporan resmi di halaman Lapor Insiden. Penanganan dini menekan dampak secara signifikan.