Sejumlah pembaruan keamanan pada 17 Oktober 2026 perlu menjadi perhatian pengelola infrastruktur. Temuan material mencakup eksekusi kode pada GitLab, kerusakan memori dan bypass verifikasi sertifikat klien pada NGINX, kebocoran token serta gangguan layanan pada Wazuh dan Carbonio, hingga penghentian runtime container dan platform monitoring.

Buletin ini merangkum perkembangan terbaru yang terverifikasi untuk NGINX, BIND/DNSSEC, Wazuh, VMware/ESXi, FortiGate/FortiOS, Carbonio, GitLab, Nextcloud, Docker, Zabbix, Prometheus, dan Grafana. Pengumuman baru, pembaruan paket, dan perubahan status eksploitasi kerentanan lama dibedakan berdasarkan tanggalnya.

1. GitLab: Patch Kritis 12 Oktober Menutup Risiko Eksekusi Kode

GitLab menerbitkan 19.4.2, 19.3.5, dan 19.2.8 pada 12 Oktober 2026. Temuan paling mendesak adalah CVE-2026-97229, berkategori Critical dengan CVSS 3.1 sebesar 10,0.

Pada kondisi tertentu, regular expression buatan dalam konfigurasi CI/CD memungkinkan pengguna tanpa autentikasi menjalankan kode pada server. Versi terdampak adalah:

Cabang GitLab CE/EEVersi terdampakPerbaikan19.2Sebelum 19.2.819.2.819.3Sebelum 19.3.519.3.519.4Sebelum 19.4.219.4.2

Patch tersebut juga menangani CVE-2026-92883—XSS, skor 8,7; CVE-2026-16301—otorisasi pipeline protected branch, 8,5; CVE-2026-14814—cache poisoning dan potensi paparan rahasia CI, 8,2; serta masalah hak pipeline dan instruksi AI pada CVE-2026-81839 dan CVE-2026-96893. Rentang awal terdampak berbeda untuk setiap CVE. Rilis keamanan resmi GitLab.

Rekomendasi: P1, tangani dalam 24 jam untuk instalasi terdampak yang terekspos atau menerima masukan tidak tepercaya. Pembatasan akses jaringan dapat mengurangi eksposur sementara. Siapkan cadangan dan ikuti tahapan upgrade serta migrasi database yang diwajibkan.

GitLab Self-Hosted AI Gateway juga perlu diperiksa secara terpisah. Rilis 2 Oktober menangani CVE-2026-90970, Critical/CVSS 9,9, yang memungkinkan eksekusi perintah melalui konfigurasi flow oleh pengguna dengan akses Duo Agent Platform. Perbaikannya tersedia pada 19.2.4, 19.3.2, atau 19.4.1, sesuai cabang. Advisory AI Gateway.

2. NGINX: Lima Perbaikan Keamanan pada 14 Oktober

NGINX merilis perbaikan melalui stable 1.30.6 dan mainline 1.31.7. Kelima temuan diberi label medium oleh upstream, sedangkan rekaman resmi F5 memberikan skor berbeda berdasarkan dampak dan prasyaratnya.

CVERisiko dan konfigurasi terkaitCVSS F5: 3.1 / 4.0CVE-2026-15176Heap overflow pada kombinasi alias, rewrite, dan penggunaan $request_filename tertentu8,1 / 9,2CVE-2026-93479Heap overflow saat evaluasi variabel/capture regex map dalam kondisi tertentu8,1 / 9,2CVE-2026-97205Use-after-free pada konfigurasi AIO bersama SSI include virtual8,1 / 9,2CVE-2026-97629Pemalsuan sesi TLS yang dapat melewati verifikasi sertifikat klien6,5 / 8,3CVE-2026-95101Injeksi data permintaan upstream melalui HTTP/3 dengan buffering aktif5,3 / 6,9

Tiga temuan kerusakan memori dapat menjatuhkan worker. F5 menyebut kemungkinan eksekusi kode apabila ASLR dimatikan atau berhasil dilewati. Untuk CVE-2026-97629, perhatian utama adalah penggunaan shared session cache tanpa berkas ticket key eksplisit. Daftar keamanan NGINX, rekaman F5: kerusakan memori, rekaman F5: sesi TLS.

Rekomendasi: gunakan 1.30.6+ atau 1.31.7+, atau paket distro dengan backport terverifikasi. Pengguna NGINX Plus harus mengikuti matriks F5 untuk cabangnya; kebutuhan patch HTTP/3 dapat berbeda dari temuan lainnya.

Sementara menunggu patch, sesuaikan konfigurasi yang memenuhi prasyarat: hindari penggunaan variabel/regex berisiko, nonaktifkan AIO atau SSI terkait, dan evaluasi buffering HTTP/3 serta pengelolaan session ticket. Uji perubahan sebelum penerapan. P1 berlaku untuk layanan terekspos dengan kondisi risiko eksekusi kode kritis; risiko tinggi lainnya P2, maksimal 72 jam.

3. Wazuh: Versi 4.14.9 Memperbaiki Ketersediaan Layanan dan Perlindungan Rahasia

Release notes 14 Oktober 2026 untuk Wazuh 4.14.9 mencakup pembatasan koneksi cluster dan enrollment yang dapat menahan sumber daya, pembatasan host pagination untuk mencegah token integrasi terkirim ke tujuan lain, serta perbaikan verifikasi Fluentd.

Rilis ini juga memperbaiki perlindungan berkas rahasia pada FIM, pencatatan konteks autentikasi API, cakupan pemantauan Windows/macOS, dan proses upgrade Windows ketika reboot tertunda. Vendor tidak menetapkan CVE atau CVSS untuk setiap perubahan tersebut. Release notes Wazuh.

Rekomendasi: P2 jika cluster/enrollment terekspos atau integrasi terkait digunakan. Targetkan 4.14.9 untuk komponen yang sesuai, batasi akses ke jaringan tepercaya, serta tinjau log yang mungkin menyimpan rahasia. Siapkan jeda telemetri dan verifikasi koneksi agent setelah upgrade.

4. Carbonio: Changelog 26.9.0 Memuat Perbaikan Kebocoran Rahasia dan XXE

Changelog Carbonio 26.9.0, diperbarui 15 Oktober, mencantumkan CO-3563, berkategori High, yang memperbaiki XXE/SSRF dan pembacaan berkas melalui parser modul kolaborasi.

Perbaikan lain meredaksi password dan token pada log SASL, memperbarui Postfix ke 3.11.7, Memcached ke 1.6.45, serta membawa ClamAV 1.5.4. Tanggal pembaruan dokumentasi ini tidak digunakan sebagai klaim tanggal rilis awal seluruh komponen. Changelog resmi Carbonio.

ClamAV 1.5.4 menangani, antara lain, CVE-2026-20337 dan CVE-2026-20338 pada pemrosesan ZIP; keduanya memengaruhi ClamAV 1.5.0–1.5.3. PoC publik tersedia, sementara advisory Cisco menyatakan tidak mengetahui penggunaan berbahaya. Rilis maintainer, status eksploitasi.

Rekomendasi: P2 untuk modul yang menerima masukan tidak tepercaya atau log yang dapat diakses pihak tidak berwenang. Batasi akses log, periksa paparan kredensial, dan rotasi rahasia yang terbukti bocor.

Upgrade juga memerlukan perhatian terhadap migrasi penyimpanan S3 tertentu, integrasi kuota V1, dan skrip yang memakai meta-package UI lama. Pada Carbonio CE, cocokkan paket aktual dengan perbaikan yang diperlukan; panduan CE mencakup perlindungan localconfig.xml dan reboot. Panduan upgrade CE.

5. Docker: Paket 29.9.1 Membawa containerd 2.4.2

Docker Engine 29.9.1, dipublikasikan 15 Oktober 2026 pukul 03:28 WITA, membawa containerd 2.4.2 dalam biner statis. Paket tersebut mencakup perbaikan:

1. CVE-2026-95839: digest manifest tidak valid dapat menjatuhkan daemon.
2. GHSA-8647-2jxj-p2rc: Content-Length berbahaya dapat menghentikan daemon ketika parallel fetch digunakan.
3. GHSA-hc94-p972-ch66: stream layer tak terbatas dapat menghabiskan disk host.

Maintainer memberi tingkat Medium tanpa skor CVSS yang dicantumkan. Target containerd adalah 2.2.10, 2.3.7, atau 2.4.2; masalah disk juga memerlukan 2.0.14 pada cabang 2.0. Rilis Docker 29.9.1, advisory containerd.

Advisory awal Oktober juga mencakup CVE-2026-92543, High/CVSS 4.0 sebesar 7,6, dengan risiko kebocoran kredensial registry dan penggantian image melalui kondisi resolusi DNS tertentu. Perbaikan awal tersedia pada Engine 29.8.2. Advisory Moby.

Rekomendasi: verifikasi Engine, containerd, dan builder secara terpisah. Builder bersama perlu memperhatikan CVE-2026-93318, High/CVSS 4.0 sebesar 7,5, terkait peracunan cache; metadata advisory menargetkan BuildKit 0.33.1+. Gunakan registry/frontend tepercaya dan pisahkan cache pekerjaan yang berbeda tingkat kepercayaannya. Advisory BuildKit.

Jadwalkan restart daemon dan pekerjaan build. Percepat penanganan menjadi P2 pada host bersama yang menarik image tidak tepercaya.

6. Grafana: Patch 13 Oktober untuk Otorisasi dan Gangguan Layanan

Advisory Grafana 13 Oktober mencakup:

CVEKeparahan/CVSS 3.1Prasyarat dan dampakCVE-2026-93294Medium / 6,3Pengguna query Azure Monitor menyalahgunakan proxy dengan identitas data sourceCVE-2026-15577Medium / 6,5Pengguna read-only Git Sync mengubah konfigurasi koneksiCVE-2026-95502Medium / 5,3Server Git yang dikonfigurasi menghabiskan memori melalui respons berbahayaCVE-2026-33374Medium / 6,5Pengguna terautentikasi memicu kehabisan memori melalui API konversi aturan

Target patch konsolidasi, sesuai cabang dan rentang advisory, adalah 12.4.13, 13.0.11, 13.1.8, atau 13.2.4. Pada Grafana 12.4, temuan Git Sync tertentu memerlukan fitur provisioning eksperimental aktif. Advisory Azure Monitor, Git Sync, respons Git, API konversi aturan.

Rekomendasi: batasi hak identitas Azure, akses Git Sync, dan endpoint terkait sambil menyiapkan patch. Backup database/configuration dan uji data source serta alerting setelah restart.

Instalasi mcp-k6 juga perlu memeriksa CVE-2026-89039, terbit 5 Oktober, Medium/6,5, yang dapat membuka berkas dan kredensial lokal kepada pemanggil prompt tertentu. Perbaikannya 0.7.0+. Advisory mcp-k6.

7. Nextcloud: Periksa Preview, Team Folders, dan File Locking

CVE-2026-104190, High/CVSS 7,4, terbit 17 September dan diperbarui 2 Oktober WITA, dapat memicu eksekusi kode melalui preview berkas berbahaya.

Prasyaratnya mencakup akses akun atau writable share, provider preview terkait yang diaktifkan, serta ImageMagick rentan. Provider tersebut tidak aktif secara default. Target Server adalah 32.0.13, 33.0.7, atau 34.0.2; cabang Enterprise lainnya mengikuti matriks vendor. Mitigasi resmi meliputi menonaktifkan preview, menghapus Imagick PHP, atau menonaktifkan provider berisiko. Advisory Nextcloud.

Dua advisory 8 Oktober juga perlu diperiksa:

1. CVE-2026-77169, Medium/6,5: bypass otorisasi Team Folders oleh delegated admin. Patch aplikasi tersedia per cabang, termasuk 21.0.8 dan 22.0.1.
2. CVE-2026-77165, Medium/6,5: kolaborator dapat membuat lock yang terus menghalangi akses pemilik. Perbaikan tersedia pada files_lock 32.0.6/33.0.6 dan Server 34.0.1, sesuai komponen.

Advisory Team Folders, advisory locking.

Rekomendasi: P2 untuk risiko preview yang memenuhi prasyarat; temuan sedang ditangani pada pemeliharaan terdekat, dipercepat bila melibatkan pengguna tidak tepercaya. Uji sharing, preview, dan akses folder setelah upgrade.

8. BIND/DNSSEC: Rollover Root KSK pada 11 Oktober Memerlukan Verifikasi Resolver

IANA menyatakan KSK-2024, dengan key tag 38696, mulai menandatangani root zone pada 11 Oktober 2026. Validating resolver harus memiliki trust anchor yang sesuai agar dapat melanjutkan validasi DNSSEC. Pengumuman operasional IANA.

Pengelola BIND dan resolver lain perlu memeriksa pembaruan trust anchor otomatis maupun statis, khususnya pada perangkat lama, sistem yang lama tidak aktif, dan lingkungan dengan pembaruan terbatas. Kegagalan validasi dapat berdampak pada resolusi nama dan layanan yang bergantung padanya.

Untuk perangkat lunak BIND, batch keamanan terakhir pada daftar ISC bertanggal 16 September, dengan perbaikan cabang 9.20 pada 9.20.29. Cabang 9.18 telah EOL. Batch September tersebut tetap menjadi referensi patch, bukan pengumuman CVE baru Oktober. Matriks kerentanan ISC.

Rekomendasi: periksa trust anchor segera dan uji validasi DNSSEC. Pembaruan resolver sebaiknya dilakukan bergiliran pada lingkungan yang memiliki redundansi.

9. FortiGate/FortiOS: Advisory Baru Oktober dan Perubahan Status Eksploitasi

Advisory baru 13 Oktober: CVE-2026-106174 / FG-IR-26-181, Medium/CVSS v3 sebesar 6,7, memungkinkan permintaan HTTP tanpa autentikasi mengganggu antarmuka HTTPS manajemen.

Terdampak FortiOS 8.0.0 dan 7.6.4–7.6.6; perbaikannya 8.0.1+ atau 7.6.7+. Vendor menyediakan virtual patch FG-VD-61291.0day, FMWP DB 26.073, dan mencatat belum ada eksploitasi yang diketahui. Batasi akses GUI ke jaringan administratif. Advisory tidak menyatakan seluruh forwarding trafik akan berhenti. Advisory Fortinet.

Perubahan status 16 Oktober: CVE-2025-61624 masuk KEV CISA dan dikonfirmasi tereksploitasi oleh Fortinet. Advisory aslinya terbit 14 April 2026. Perkembangan Oktober adalah status eksploitasi yang kini perlu ditindaklanjuti.

Celah CLI ini memerlukan akun admin dengan izin baca-tulis. Minimum perbaikannya 7.6.5+ untuk 7.6.0–7.6.4 dan 7.4.10+ untuk 7.4.0–7.4.9; seluruh cabang 7.2, 7.0, dan 6.4 memerlukan migrasi. Prioritaskan P1 jika terdampak, termasuk pemeriksaan indikasi kompromi. Advisory FG-IR-26-122, KEV CISA.

10. Prometheus: Patch Dependency gRPC Harus Dicocokkan dengan Jalur yang Digunakan

Rilis Prometheus 3.13.4, dipublikasikan 2 Oktober, membawa gRPC-Go 1.83.1 untuk menangani CVE-2026-84304 / GO-2026-6348. Temuan berkategori High ini dapat menyebabkan kehabisan memori melalui fragmentasi HTTP/2 DATA frame. Skor CVSS resmi tidak dicantumkan pada advisory dependency.

Dependency terdampak adalah gRPC-Go 1.83.0 dan sebelumnya. Relevansi instalasi Prometheus bergantung pada dependency binary dan keterjangkauan jalur gRPC terkait. Rilis Prometheus, advisory gRPC-Go.

Rekomendasi: P2 bila jalur tersebut dapat dijangkau pihak tidak tepercaya. Verifikasi binary memuat perbaikan, batasi komunikasi terkait, dan uji scrape, rules, serta integrasi setelah pergantian layanan.