CISA Peringatkan Eksploitasi Aktif OpenSSH SSHole hingga GPUStack, Ini Daftarnya

Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) menambahkan empat celah keamanan ke katalog Known Exploited Vulnerabilities pada Senin, 9 November 2026. Celah itu menimpa GPUStack, SignalWire FreeSWITCH, OpenBSD OpenSSH, dan IBM Aspera Faspex, dengan bukti eksploitasi aktif di lapangan.

Langkah ini memaksa lembaga federal sipil atau Federal Civilian Executive Branch (FCEB) menambal sistem mereka paling lambat 12 November 2026. Tenggat itu hanya berselang tiga hari setelah pengumuman, memicu tekanan operasional bagi tim keamanan yang mengelola layanan publik.

Dari empat celah, OpenSSH dengan kode CVE-2026-123158 alias SSHole menjadi sorotan. Serangan terhadap celah ini sudah terekam sejak 6 November 2026, hanya beberapa hari setelah perbaikannya dirilis.

Daftar Empat Celah yang Masuk Katalog KEV CISA

CISA mencantumkan empat kerentanan dengan skor keparahan yang berbeda. Tiga di antaranya memiliki CVSS 9.8, kategori kritis. Berikut rinciannya seperti dilaporkan The Hacker News:

• CVE-2026-123218 (CVSS 9.8) — celah otorisasi tidak tepat pada IBM Aspera Faspex. Pengguna terautentikasi bisa mengirim pesan tertentu untuk melewati otorisasi dan menaikkan hak akses. Diperbaiki November 2026.
• CVE-2026-116779 (CVSS 9.8) — injeksi kode pada SignalWire FreeSWITCH. Dampaknya mencakup kebocoran konfigurasi dan kredensial, kendali panggilan sewenang-wenang, hingga eksekusi perintah. Diperbaiki Oktober 2026.
• CVE-2026-123158 alias SSHole (CVSS 8.1) — status code atau return value tak terduga pada OpenBSD OpenSSH di Linux. Celah ini memungkinkan bypass autentikasi. Diperbaiki November 2026.
• CVE-2026-102895 (CVSS 9.8) — autentikasi tidak tepat pada GPUStack. Penyerang tanpa kredensial bisa mendapat akses administratif, mengubah pengguna dan model, membuat API key administrator permanen, membocorkan rahasia worker dan penyedia cloud, serta mengeksekusi kode lewat endpoint POST /v2/inference-backends/from-yaml. Diperbaiki Juli 2026.

Empat celah ini menutup permukaan serangan yang luas, dari layanan transfer file perusahaan hingga infrastruktur telekomunikasi dan platform kecerdasan buatan. Yang paling mengkhawatirkan, semuanya sudah terbukti dipakai di lapangan sebelum masuk katalog.

Kronologi Serangan SSHole dan Jejak TAC Agent

Pencantuman CVE-2026-123158 di katalog KEV menyusul laporan upaya eksploitasi yang mengarah ke celah tersebut sejak 6 November 2026. Menurut Previdian, sudah tercatat 22 upaya eksploitasi dari 14 alamat IP unik.

Pada 7 November 2026, akun Defused Cyber menulis di X bahwa pihaknya "mengamati sejumlah kecil aktor yang menargetkan SSHole", tetapi menegaskan aktivitas eksploitasi belum meluas. GreyNoise mencatat upaya pertama terhadap jaringan honeypot mereka pada 7 November 2026 pukul 12.46 UTC.

Aktivitas pasca-eksploitasi terkonfirmasi berasal dari enam alamat IP sumber, yang mewakili 18 rantai serangan berbeda hingga saat ini. Rantai itu mencakup pengintaian, kueri ke layanan metadata cloud, upaya membaca hash kata sandi dan kunci SSH root, serta modifikasi berkas authorized_keys untuk mendapatkan akses persisten.

Dalam setidaknya satu kasus, aktor ancaman tak dikenal berjuluk GT10 terlihat memasang TAC Agent. Agen command-and-control berbasis Python itu mampu mengeksekusi perintah shell, melakukan pengintaian sistem, menghitung direktori, mentransfer berkas, dan memperbarui dirinya sendiri.

Perusahaan intelijen ancaman watchTowr melaporkan celah OpenSSH juga dipersenjatai untuk aktivitas botnet dan penambang kripto. Kombinasi ini lazim terjadi ketika celah bypass autentikasi membuka akses ke server yang terekspos internet.

GPUStack dan Celah Kritis yang Jarang Dibahas

Di antara empat celah, GPUStack menyimpan ironi tersendiri. Dalam advisory untuk CVE-2026-102895 yang terbit 31 Juli 2026, pengelola paket Python GPUStack memberi kredit kepada Nikko Enggaliano, Wei Yunzhou, Rui Yang, dan Haoyu Wang sebagai pelapor independen.

Advisory yang sama menyebut eksploitasi aktif di lapangan dilaporkan Javier Sixto dari Ulex Innovative Systems. Artinya, celah ini sudah dieksploitasi sejak jauh sebelum CISA memasukkannya ke katalog KEV pada November.

Dampak CVE-2026-102895 tergolong luas. Penyerang tanpa autentikasi bisa mengambil alih akses administratif, mengubah konfigurasi pengguna dan model, hingga membuat API key administrator permanen. Rahasia worker dan penyedia cloud juga berpotensi bocor.

Eksekusi kode dimungkinkan lewat endpoint POST /v2/inference-backends/from-yaml. Bagi organisasi yang memakai GPUStack untuk mengelola beban kerja kecerdasan buatan, celah ini membuka pintu ke seluruh infrastruktur model dan data pelatihan.

Dampak bagi Lembaga Federal dan Sektor Swasta

Perintah penambalan berlaku mengikat bagi lembaga FCEB. Tenggat 12 November 2026 berarti tim keamanan hanya punya hitungan hari untuk memverifikasi versi, menguji patch, dan menjadwalkan pemeliharaan tanpa mengganggu layanan.

Bagi sektor swasta, katalog KEV berfungsi sebagai sinyal peringatan meski tidak mengikat. Perusahaan yang menjalankan FreeSWITCH untuk layanan telekomunikasi, Aspera Faspex untuk transfer berkas, atau GPUStack untuk inferensi AI berada di garis depan risiko.

Belum ada laporan publik tentang bagaimana tiga celah lainnya dieksploitasi, siapa aktor di belakangnya, dan seberapa besar skalanya. Ketiadaan laporan itu bukan berarti aman. Justru sebaliknya, eksploitasi diam-diam sering baru terungkap setelah kerusakan terjadi.

Organisasi yang belum menambal sebaiknya memeriksa log akses untuk pola kueri ke layanan metadata cloud, pembacaan berkas kunci SSH, dan perubahan pada authorized_keys. Indikator semacam ini sudah muncul di jaringan honeypot GreyNoise.

Langkah Selanjutnya: Tambal, Pantau, dan Audit Akses

Langkah paling mendesak adalah menerapkan perbaikan yang sudah tersedia. IBM merilis patch Aspera Faspex pada November 2026, SignalWire memperbaiki FreeSWITCH pada Oktober 2026, OpenBSD menambal OpenSSH pada November 2026, dan GPUStack sudah merilis perbaikan sejak Juli 2026.

Setelah penambalan, audit kredensial perlu dilakukan. Pada kasus GPUStack, penyerang bisa membuat API key administrator permanen. Artinya, mencabut kunci yang tidak dikenal menjadi sama pentingnya dengan memasang patch.

Untuk SSHole, pemeriksaan berkas authorized_keys dan rotasi kunci SSH root harus jadi prioritas. Upaya membaca hash kata sandi juga menandakan perlunya penggantian kredensial, bukan sekadar pemantauan.

Panduan dan detail teknis tiap celah bisa ditelusuri lewat katalog KEV CISA. Organisasi disarankan memantau pembaruan vendor masing-masing karena sifat eksploitasi yang masih berkembang.

Analisis Redaksi

Ada pola yang berulang dan sulit diabaikan. GPUStack sudah diperbaiki sejak Juli 2026, tetapi eksploitasi aktif baru dilaporkan dan baru masuk katalog KEV pada November. Jeda empat bulan itu bukan sekadar keterlambatan administratif, melainkan jendela terbuka bagi penyerang.

Kasus SSHole menunjukkan sisi lain: patch sudah tersedia November 2026, tetapi upaya eksploitasi muncul sejak 6 November, hanya beberapa hari setelah perbaikan dirilis. Penyerang bergerak cepat, sementara banyak organisasi masih menimbang jadwal pemeliharaan. Selisih kecepatan inilah yang menentukan apakah sebuah celah menjadi insiden atau sekadar catatan.

Yang juga patut dicermati, tiga dari empat celah memiliki CVSS 9.8. Skor itu menempatkan Aspera Faspex, FreeSWITCH, dan GPUStack dalam kategori paling berbahaya. Namun perhatian publik justru tersedot ke OpenSSH karena namanya akrab bagi administrator sistem. Celah di platform AI seperti GPUStack berpotensi lebih merusak karena menyentuh model, data, dan kunci akses cloud sekaligus.

Tenggat 12 November 2026 bagi lembaga federal adalah ujian disiplin. Bila patch tidak selesai tepat waktu, yang dipertaruhkan bukan hanya kepatuhan, tetapi data warga yang dilayani sistem tersebut. Bagi organisasi lain, katalog KEV sebaiknya dibaca sebagai peringatan dini, bukan sekadar daftar rujukan.