KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang menggunakan produk Adobe — baik aplikasi desktop kreatif maupun perangkat lunak pemasaran berbasis server — untuk menindaklanjuti 39 kerentanan yang ditambal Adobe pada periode Agustus 2026. Tiga di antaranya berskor CVSS 10,0 (Critical), nilai tertinggi yang mungkin diberikan.

Perlu ditegaskan sejak awal agar penanganan tepat sasaran: ketiga kerentanan berskor 10,0 hanya menyangkut Adobe Campaign Classic, sebuah aplikasi pemasaran berbasis server yang dipasang sendiri (on-premise). Sebagian besar sisanya menyangkut aplikasi desktop rancang grafis (Substance 3D, Illustrator, XD) dengan pola risiko yang sama sekali berbeda dan penanganan yang lebih sederhana.

Ikhtisar

Adobe merilis pembaruan keamanan periode Agustus 2026 yang mencakup 39 CVE pada tujuh lini produk. Berdasarkan tingkat keparahannya, komposisinya adalah 3 Critical, 30 High, dan 6 Medium.

Kerentanan-kerentanan tersebut terbagi ke dalam dua kelompok risiko yang perlu dibedakan:

• Kelompok pertama — layanan server. Tiga CVE berskor 10,0 pada Adobe Campaign Classic (CVE-2026-76197, CVE-2026-76195, CVE-2026-76193). Vektor CVSS ketiganya adalah CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — dapat dieksploitasi dari jaringan, tanpa hak akses, dan tanpa interaksi pengguna. Inilah yang menjadikan skornya mencapai nilai maksimum.
• Kelompok kedua — aplikasi desktop. Tiga puluh enam CVE sisanya pada Substance 3D Designer, Painter, Sampler, Adobe XD, Illustrator, serta pustaka Content Credentials/C2PA. Dua puluh tujuh di antaranya berskor 7,8 (High) dengan vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H — menuntut korban membuka berkas berbahaya di komputernya sendiri. Risikonya nyata, tetapi jalur serangannya adalah rekayasa sosial melalui berkas kiriman, bukan serangan langsung dari internet.
• Pengecualian yang perlu dicatat. Tiga CVE pada pustaka Content Credentials (CVE-2026-71360, CVE-2026-71443, CVE-2026-71442, masing-masing 7,5) bervektor AV:N dan UI:N — dapat dipicu dari jaringan tanpa interaksi pengguna. Namun dampaknya terbatas pada ketersediaan (C:N/I:N/A:H), yaitu aplikasi berhenti bekerja. Ini relevan apabila pustaka tersebut tertanam di dalam layanan yang memproses berkas kiriman pengguna, bukan sekadar dipakai di komputer perorangan.

Dampak

Pada Adobe Campaign Classic (tiga kerentanan berskor 10,0):

• Dua kerentanan bertipe OS Command Injection (CWE-78) memungkinkan penyerang menyisipkan perintah sistem operasi karena masukan yang dikendalikan penyerang diteruskan ke perintah sistem tanpa dinetralkan lebih dulu. Akibatnya adalah eksekusi kode arbitrer tanpa perlu autentikasi.
• Satu kerentanan bertipe Server-Side Request Forgery (CWE-918) memungkinkan penyerang memaksa server mengirim permintaan atas namanya — membuka jalan ke layanan internal yang seharusnya tidak dapat dijangkau dari luar, dan menurut Adobe juga dapat berujung pada eksekusi kode.
• Komponen S:C (scope changed) pada vektor menunjukkan dampaknya dapat melampaui batas aplikasi itu sendiri dan menjangkau komponen lain di server yang sama.

Pada aplikasi desktop (Substance 3D, XD, Illustrator, Content Credentials):

• Kerusakan memori — heap-based dan stack-based buffer overflow, out-of-bounds read/write — yang dapat berujung pada eksekusi kode dengan hak akses pengguna yang sedang membuka berkas tersebut.
• Satu kerentanan untrusted search path (CWE-426) pada Substance 3D Painter, yang memungkinkan aplikasi memuat pustaka dari lokasi yang dapat dikendalikan penyerang.
• Pada pustaka Content Credentials/C2PA: lima kerentanan berujung denial of service (aplikasi berhenti bekerja akibat integer underflow, validasi masukan yang lemah, atau konsumsi sumber daya tak terkendali), dan satu kerentanan (CVE-2026-76198) memungkinkan arbitrary file system read — pembacaan berkas dan direktori di luar cakupan akses yang seharusnya.
• Karena vektornya menuntut interaksi pengguna, eksploitasi khas kelompok ini adalah berkas proyek atau aset yang dikirim lewat email maupun tautan unduhan, lalu dibuka oleh korban.

Sistem yang Terdampak

Rincian 39 Kerentanan

Tabel berikut memuat seluruh CVE sebagaimana tercantum dalam lampiran resmi edaran BSSN. Kolom jenis kerentanan (CWE) kami tambahkan dari NVD agar sifat setiap celah dapat dikenali tanpa perlu membuka satu per satu. Nomor CVE tertaut langsung ke halaman NVD masing-masing.

Detail Teknis

OS Command Injection (CWE-78) pada Adobe Campaign Classic. Aplikasi yang perlu memanggil perintah sistem operasi umumnya menyusun perintah tersebut sebagai untaian teks yang sebagian isinya berasal dari masukan pengguna. Bila karakter khusus milik shell tidak dinetralkan lebih dulu, penyerang dapat menyisipkan pemisah perintah dan menambahkan perintahnya sendiri di belakang perintah yang sah. Karena proses aplikasi berjalan dengan hak akses tertentu di server, perintah sisipan itu dijalankan dengan hak yang sama.

Server-Side Request Forgery (CWE-918). Pada kerentanan jenis ini, penyerang mengendalikan alamat tujuan dari permintaan yang dibuat oleh server. Server menjadi perantara: ia menjangkau alamat internal yang tidak dapat dihubungi langsung dari internet, lalu mengembalikan hasilnya. Inilah sebabnya SSRF pada layanan yang terhubung ke jaringan internal berbobot jauh lebih berat daripada sekadar kebocoran satu halaman — ia menjadi jembatan ke dalam.

Kerusakan memori pada aplikasi desktop. Kerentanan heap-based buffer overflow (CWE-122), stack-based buffer overflow (CWE-121), serta out-of-bounds read/write (CWE-125/CWE-787) muncul ketika aplikasi mengurai berkas dengan struktur yang tidak lazim — berkas proyek, tekstur, atau aset gambar — dan menulis atau membaca melewati batas penyangga memori yang dialokasikan. Penyerang yang menyusun berkas secara cermat dapat mengarahkan penyimpangan itu menjadi eksekusi kode. Karena berkas rancang grafis rutin dipertukarkan antarinstansi maupun dengan pihak ketiga, jalur pengantarannya sudah tersedia dengan sendirinya.

Untrusted Search Path (CWE-426) pada CVE-2026-75768 (Substance 3D Painter) bekerja berbeda: aplikasi mencari pustaka pendukung pada lokasi yang dapat ditulisi pengguna lain atau pada direktori kerja yang tidak tepercaya. Bila penyerang berhasil menaruh berkas pustaka bernama sama di sana, aplikasi akan memuatnya dan menjalankan kodenya.

Integer Underflow (CWE-191) pada pustaka Content Credentials. Ketika sebuah operasi pengurangan pada bilangan bulat tak bertanda menghasilkan nilai di bawah nol, nilainya "membalik" menjadi bilangan positif yang sangat besar. Nilai itu kemudian dipakai sebagai panjang atau indeks, sehingga aplikasi mengakses memori jauh di luar yang seharusnya dan berhenti bekerja.

Rekomendasi

Prioritas pertama — Adobe Campaign Classic (bila digunakan):

1. Pastikan model penerapan terlebih dahulu. Hanya pemasangan on-premise dan komponen on-premise pada penerapan hibrida yang perlu ditambal.
2. Perbarui ke versi 7.4.4 build 9401 pada kesempatan pertama. Ketiga kerentanan dapat dieksploitasi tanpa autentikasi dari jaringan, sehingga jeda penambalan berarti jendela risiko yang terbuka penuh.
3. Batasi keterjangkauan antarmuka pengelola dari internet selama pembaruan belum dapat dilakukan. Pertahankan akses hanya dari jaringan internal atau melalui jalur terkelola.
4. Tinjau log server untuk permintaan yang tidak wajar, khususnya yang memuat karakter khusus perintah sistem, serta permintaan keluar dari server ke alamat internal yang tidak lazim (indikasi SSRF).

Untuk aplikasi desktop (Substance 3D, Adobe XD, Illustrator):

1. Perbarui melalui Adobe Creative Cloud Desktop ke versi perbaikan pada tabel di atas. Pada organisasi yang mengelola lisensi terpusat, dorong pembaruan lewat Adobe Admin Console agar seragam.
2. Perlakukan berkas proyek dan aset dari sumber tak dikenal sebagai berkas berisiko. Karena eksploitasi menuntut korban membuka berkas, kewaspadaan pengguna adalah lapisan pertahanan yang menentukan.
3. Jalankan aplikasi rancang grafis dengan akun pengguna biasa, bukan administrator, agar dampak eksploitasi terkurung pada hak akses yang terbatas.
4. Sampaikan imbauan ini kepada staf yang menangani desain, publikasi, dan pengelolaan konten — merekalah pengguna sesungguhnya dari produk-produk tersebut.

Untuk pengembang yang memakai pustaka Content Credentials / C2PA:

1. Perbarui dependensi ke c2pa-v0.90.11 atau c2patool-v0.27.11.
2. Periksa dependensi transitif, bukan hanya yang dideklarasikan langsung: jalankan cargo tree -i c2pa pada proyek Rust untuk memastikan tidak ada versi rentan yang ikut terbawa.
3. Bila pustaka dipakai pada layanan yang menerima unggahan berkas dari pengguna, terapkan batas ukuran berkas dan batas waktu pemrosesan sebagai pertahanan berlapis terhadap kerentanan penghabisan sumber daya.

Berlaku umum: lakukan inventarisasi terlebih dahulu — daftar Perangkat Daerah yang benar-benar memakai produk Adobe beserta versinya. Tanpa inventaris, imbauan pembaruan sulit ditindaklanjuti secara terukur.

Catatan Status Eksploitasi

Berdasarkan pemeriksaan kami terhadap katalog Known Exploited Vulnerabilities (KEV) CISA versi 9 September 2026, tidak satu pun dari 39 CVE ini tercatat sedang dieksploitasi secara aktif. Adobe sendiri menyatakan belum mengetahui adanya eksploitasi di alam liar untuk kerentanan-kerentanan tersebut. Prioritas penanganan karenanya ditentukan oleh skor keparahan dan keterpaparan sistem, bukan oleh bukti serangan yang sedang berlangsung.

Referensi

• BSSN/Id-SIRTII – Security Advisory: Rekapitulasi Kerentanan pada Adobe (edaran sumber)
• Adobe APSB26-134 – Adobe Campaign Classic (memuat tiga CVE berskor 10,0)
• Adobe APSB26-110 – Content Credentials SDK
• Adobe APSB26-115 – Substance 3D Designer
• Adobe APSB26-121 – Substance 3D Sampler
• Adobe APSB26-124 – Illustrator
• Adobe APSB26-125 – Adobe XD
• Adobe APSB26-129 – Substance 3D Painter
• NVD – CVE-2026-76197 (tautan CVE lainnya tersedia pada tabel rincian di atas)
• CISA – Known Exploited Vulnerabilities Catalog