CISA Tandai Kerentanan Ray Aktif Dieksploitasi yang Picu RCE Browser

Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) pada hari Senin menambahkan sebuah kerentanan kritis yang berdampak pada Ray ke dalam katalog Known Exploited Vulnerabilities (KEV), setelah bukti adanya eksploitasi aktif ditemukan.

Ray merupakan sebuah kerangka kerja komputasi terdistribusi open-source berbasis Python yang dirancang untuk menskalakan beban kerja kecerdasan buatan dan pembelajaran mesin. Hingga saat ini, proyek tersebut telah mendapatkan lebih dari 43.500 bintang dan telah difork lebih dari 7.900 kali di GitHub.

Kerentanan CVE-2025-62593 Picu Eksekusi Kode Jarak Jauh Melalui Browser

Kerentanan yang dimaksud terkait dengan CVE-2025-62593 dengan skor CVSS 9.4, yang memungkinkan eksekusi kode jarak jauh (RCE) melalui browser web seperti Mozilla Firefox dan Apple Safari melalui serangan DNS rebinding.

"Karena keputusan lama tim pengembang Ray untuk tidak menerapkan autentikasi pada endpoint penting seperti /api/jobs & /api/job_agent/jobs/, kembali menimbulkan kerentanan serius yang memungkinkan penyerang mengeksekusi kode sewenang-wenang terhadap Ray," tulis pengelola Ray dalam sebuah advisori pada November 2025. "Kali ini dalam konteks pengembangan via browser Firefox dan Safari."

Masalah utama berasal dari kurangnya kontrol terhadap serangan berbasis browser, terutama pada skenario di mana header User-Agent dapat dimanipulasi.

Pengelola proyek menjelaskan, "Jika digabungkan dengan serangan DNS rebinding terhadap browser, kerentanan ini dapat dieksploitasi terhadap pengembang yang menjalankan Ray dan secara tidak sengaja mengunjungi situs berbahaya atau menerima iklan berbahaya."

Target Utama: Lingkungan Pengembangan dengan Ray

Kerentanan ini terutama berdampak pada pengembang yang menjalankan Ray di lingkungan pengembangan atau pengujian. Jika korban terkena serangan phishing atau iklan berbahaya, hal ini dapat menyebabkan eksekusi kode shell secara arbitrer di mesin mereka.

Lebih lanjut, serangan ini juga dapat diperluas untuk menyerang instansi Ray yang berada di jaringan privat perusahaan, dengan memanfaatkan browser sebagai perantara bingung (confused deputy) untuk menargetkan Ray yang berjalan di jaringan internal.

Perbaikan dan Rekomendasi

Masalah tersebut telah diperbaiki pada versi 2.52.0 dari paket Python Ray. Ray mengapresiasi peneliti keamanan Oligo, Avi Lumelsky, atas penemuan bypass fetch dan Jonathan Leitschuh yang mengembangkan serangan DNS rebinding.

Meskipun CISA belum mengungkapkan detail eksploitasi di lapangan, laporan BitSight pada Maret 2026 mengindikasikan bahwa aktor ancaman di balik botnet DDoS RondoDox telah memasukkan kerentanan ini ke dalam arsenal mereka dua hari sebelum pengumuman publik pada 26 November 2025, berkat adanya bukti konsep (PoC) eksploitasi.

Menurut Oligo, instansi Ray yang belum diperbarui juga menjadi sasaran serangan siber yang bertujuan mengubah klaster yang terinfeksi dengan GPU NVIDIA menjadi botnet penambangan cryptocurrency yang bisa mereplikasi sendiri, dalam kampanye yang dinamakan ShadowRay 2.0.

Sehubungan dengan eksploitasi aktif CVE-2025-62593, instansi Federal Civilian Executive Branch (FCEB) direkomendasikan untuk segera menerapkan perbaikan dan mitigasi selambat-lambatnya pada tanggal 20 Agustus 2026.

Analisis Redaksi

Menurut pandangan redaksi, penambahan kerentanan Ray ke daftar KEV oleh CISA menandai eskalasi risiko signifikan bagi ekosistem pengembang Python yang mengandalkan framework ini, khususnya yang fokus pada pengembangan AI dan machine learning. Keputusan pengembang Ray yang tidak menerapkan autentikasi pada endpoint krusial menunjukkan kurangnya perhatian pada keamanan sejak awal, yang kini berakibat fatal dengan kemunculan exploit aktif.

Selain ancaman langsung terhadap pengembang, potensi penyebaran serangan ke jaringan perusahaan melalui perantara browser membuka celah bagi serangan lanjutan yang dapat mengancam data dan infrastruktur perusahaan secara luas. Hal ini memperingatkan pentingnya proteksi jaringan internal dan awareness keamanan siber di kalangan pengembang.

Ke depannya, pembaca dan pelaku industri harus memantau pergerakan exploit ini serta segera mengimplementasikan update keamanan. Selain itu, pengembang framework open-source perlu belajar dari kasus ini untuk mengintegrasikan prinsip keamanan dari tahap desain produk agar tidak terjadi celah serupa.

Untuk informasi lebih lanjut dan update terkini mengenai kerentanan dan keamanan siber, Anda bisa membaca laporan lengkapnya di The Hacker News dan mengikuti berita dari situs terpercaya lainnya.