PoC Publik Terungkap untuk Kerentanan Kritis libssh2 CVE-2026-55200 pada Klien SSH

PoC publik telah dirilis untuk CVE-2026-55200, sebuah kerentanan kritis pada library libssh2 yang memungkinkan server SSH yang jahat atau telah dikompromikan melakukan korupsi memori pada klien yang terhubung, berpotensi mengeksekusi kode berbahaya tanpa perlu kredensial atau interaksi pengguna.

Kerentanan ini memengaruhi semua versi libssh2 hingga 1.11.1 dan diberi skor CVSS 9.2, menandakan risiko tinggi bagi sistem yang menggunakannya. libssh2 sendiri adalah library sisi klien untuk SSH, bukan server, yang banyak disematkan dalam aplikasi seperti curl, Git, PHP, agen backup, pembaruan firmware, dan berbagai perangkat lainnya.

Bagaimana Kerentanan Ini Bekerja

Bug terdapat pada fungsi ssh2_transport_read() dalam transport.c, yang bertugas memproses paket SSH saat handshake. Fungsi ini membaca nilai packet_length yang dikendalikan penyerang, hanya memeriksa apakah nilainya lebih kecil dari 1, tanpa membatasi batas atas.

Perhitungan ukuran buffer menggunakan aritmatika 32-bit, sehingga nilai 0xffffffff menyebabkan pembungkusan nilai menjadi sangat kecil. libssh2 kemudian mengalokasikan buffer berdasarkan ukuran kecil tersebut, namun proses penulisan menggunakan ukuran paket asli yang besar, menyebabkan penulisan memori di luar batas (out-of-bounds heap write), yang dikenal sebagai integer overflow to buffer overflow (CWE-680).

Bug ini merupakan pintu masuk klasik untuk eksekusi kode berbahaya. Perbaikan yang diterapkan menambahkan pengecekan batas atas (upper bound) agar nilai packet_length tidak melebihi LIBSSH2_PACKET_MAXPAYLOAD sebelum perhitungan ukuran buffer.

Sejarah dan Dampak Kerentanan

libssh2 pernah menghadapi masalah serupa pada 2019, ketika versi 1.8.1 dirilis untuk memperbaiki sembilan kerentanan, termasuk CVE-2019-3855 yang hampir identik, yang juga memungkinkan server jahat mengeksekusi kode pada klien.

Namun, tujuh tahun kemudian, bug sejenis kembali muncul di kode yang sama, menunjukkan pola risiko berulang dalam pengelolaan keamanan libssh2.

Peneliti keamanan Tristan Madani yang menemukan kerentanan ini, diikuti dengan penggabungan patch melalui pull request #2052 pada 12 Juni 2026 dan publikasi CVE oleh VulnCheck pada 17 Juni.

PoC dan Risiko Eksploitasi

PoC publik telah dipublikasikan di "exploitarium," sebuah arsip GitHub berisi kode eksploit yang diposting tanpa pelaporan terlebih dahulu. Arsip ini berisi scaffold trigger SSH yang diverifikasi secara lokal dan sebuah harness RCE lokal yang terkendali untuk bug libssh2, namun bukan eksploitasi jarak jauh yang siap pakai.

Keberhasilan eksekusi kode yang andal pada aplikasi nyata bergantung pada biner target, perilaku alokator memori, mitigasi keamanan, serta cara perangkat lunak mengintegrasikan libssh2.

Meski begitu, pengunggah arsip ini mengakui bahwa beberapa entri dalam repositori tersebut tidak lengkap dan sebagian besar proses fuzzing didukung AI. Hingga kini, CISA belum mengonfirmasi adanya eksploitasi aktif di lapangan.

Apa yang Harus Dilakukan Pengguna

1. Inventarisasi semua aplikasi yang menggunakan libssh2, termasuk yang statis atau terbungkus, karena pembaruan paket standar mungkin tidak mempengaruhi mereka. curl, Git, dan PHP adalah contoh umum.
2. Pasang versi yang sudah mengandung patch commit 97acf3d, baik melalui backport dari distribusi Linux atau build sumber yang diperbarui.
3. Batasi koneksi SSH keluar hanya ke server terpercaya dan verifikasi kunci host untuk mengurangi risiko serangan dari server jahat.
4. Perhatikan perilaku anomali seperti paket berukuran luar biasa dan crash klien yang tidak dapat dijelaskan.
5. Patch juga kerentanan terkait lain: CVE-2026-55199 (DoS via loop CPU, skor CVSS 8.2) dan CVE-2025-15661 (heap over-read pada SFTP, skor CVSS 8.3).

Masalah inti adalah kerentanan memori pra-autentikasi yang ada di kode yang digunakan oleh lebih banyak klien dan perangkat daripada yang diperkirakan.

Yang menjadi pertanyaan besar sekarang adalah seberapa cepat PoC lokal ini dapat dikembangkan menjadi eksploitasi jarak jauh yang dapat diandalkan, serta berapa banyak salinan libssh2 yang tetap rentan karena kurangnya kesadaran keberadaan library ini dalam perangkat lunak mereka.

Analisis Redaksi

Menurut pandangan redaksi, kehadiran kerentanan seperti CVE-2026-55200 yang muncul kembali setelah beberapa tahun menandakan perlunya pengelolaan keamanan yang lebih ketat dan audit berkelanjutan pada library open source yang banyak digunakan. Mengingat libssh2 digunakan secara luas dan sering kali terintegrasi secara statis, risiko tersembunyi dari perangkat lunak yang tidak ter-update bisa sangat tinggi.

Selain itu, kompleksitas eksploitasi yang bergantung pada lingkungan target menggarisbawahi pentingnya pendekatan keamanan berlapis, termasuk pembatasan akses SSH dan monitoring aktif terhadap anomali. Organisasi harus mempercepat proses inventarisasi dan patching serta meningkatkan kesadaran tentang risiko serangan yang memanfaatkan kerentanan ini.

Kedepannya, pengawasan terhadap pengembangan PoC dan potensi eksploitasi jarak jauh harus menjadi perhatian utama, terutama bagi industri yang sangat bergantung pada SSH untuk keamanan komunikasi dan manajemen sistem. Memantau update resmi dan advisori keamanan dari vendor serta komunitas open source akan menjadi kunci mitigasi risiko secara efektif.

Untuk informasi lebih lengkap dan pembaruan terkini, Anda dapat mengunjungi sumber asli di The Hacker News dan mengikuti berita keamanan dari lembaga resmi.