Laporan InfraTrust Ungkap Celah Infrastruktur yang Perlu Dipatch Lebih Dulu
Eclypsium meluncurkan InfraTrust, basis pengetahuan keamanan infrastruktur yang disertai laporan bulanan InfraTrust Pulse untuk membantu organisasi menentukan prioritas patch pada perangkat infrastruktur, firmware, networking, dan edge devices. Laporan perdana edisi Juli 2026 menyoroti bahwa keputusan patching tidak seharusnya hanya bergantung pada skor CVSS, tetapi juga pada exploitability, exposure, dan risiko nyata di lapangan.
Dalam laporan pertamanya, InfraTrust Pulse melacak 61 advisory infrastruktur dari 14 vendor. Dari jumlah tersebut, terdapat enam advisory kritis dan 26 kerentanan yang dapat dieksploitasi dari jarak jauh tanpa autentikasi. Beberapa advisory juga berisi celah yang sudah aktif dieksploitasi atau telah masuk ke katalog Known Exploited Vulnerabilities (KEV) milik CISA.
Fokus pada keamanan infrastruktur menjadi semakin penting karena perangkat edge seperti router, VPN, firewall, application delivery controller, dan appliance remote access kerap menjadi pintu masuk serangan. Dalam beberapa tahun terakhir, kelompok threat actor yang dikaitkan dengan negara seperti Volt Typhoon dan Salt Typhoon berulang kali menargetkan perangkat jaringan yang terekspos internet untuk mengakses lingkungan kritis dan penyedia telekomunikasi.
Prioritas Patch yang Disorot InfraTrust
InfraTrust menempatkan sejumlah advisory sebagai prioritas karena berdampak pada infrastruktur yang terekspos internet, sudah dieksploitasi, atau memungkinkan kompromi jarak jauh tanpa autentikasi. Daftar yang paling menonjol mencakup SonicWall SMA1000, Fortinet FortiSandbox, Dell Networking, F5 BIG-IP, Juniper Junos OS, serta NVIDIA BlueField dan ConnectX.
Pada SonicWall SMA1000, dua celah yang dilacak sebagai CVE-2026-15409 dan CVE-2026-15410 disebut telah dieksploitasi untuk memasang custom malware sebelum vendor mengungkapkan masalah tersebut secara publik dan sebelum masuk katalog KEV. Kondisi ini membuat appliance remote access yang terekspos internet menjadi prioritas tinggi untuk pemeriksaan dan patching.
Untuk Fortinet FortiSandbox, advisory FG-IR-26-100 dan FG-IR-26-141 mencakup dua celah command injection kritis, yaitu CVE-2026-39808 dan CVE-2026-25089. Meski advisory terkait sudah dirilis pada April dan Juni 2026, keduanya kembali disorot karena CISA menambahkannya ke katalog KEV pada 16 Juli 2026 setelah eksploitasi terdeteksi.
Tidak Semua Risiko Terlihat dari Skor CVSS
InfraTrust menekankan bahwa kerentanan dengan skor CVSS lebih rendah bisa menjadi risiko lebih besar jika dapat dijangkau dari internet dan dieksploitasi tanpa autentikasi. Sebaliknya, celah dengan skor tinggi tetapi membutuhkan akses lokal administrator mungkin tidak selalu menjadi prioritas pertama dalam konteks operasi harian.
Contoh lain yang disorot mencakup advisory Dell untuk EMC Networking OS10 dan SmartFabric Manager. Advisory OS10 bahkan memuat ratusan upstream fixes, menegaskan bahwa sistem operasi jaringan modern pada dasarnya merupakan distribusi Linux lengkap dengan permukaan serangan yang luas. F5 BIG-IP juga mendapat perhatian karena application delivery controller dan load balancer sering berada di edge jaringan perusahaan.
Juniper juga masuk daftar prioritas melalui celah pada Junos OS yang dapat dieksploitasi dari jarak jauh untuk membuat router dan switch terdampak mengalami crash. Sementara itu, advisory NVIDIA mencakup BlueField DPUs dan ConnectX SmartNICs yang banyak digunakan di infrastruktur AI dan data center, sehingga patching tidak hanya relevan untuk sistem jaringan tradisional, tetapi juga lingkungan komputasi modern.
Firmware dan Hardware Masih Menjadi Titik Lemah
Eclypsium juga mengingatkan bahwa pembaruan firmware dan hardware sering tertinggal dari perbaikan upstream karena bergantung pada vendor perangkat untuk mengintegrasikan dan mendistribusikan patch. Dalam salah satu contoh, advisory HP Poly Video dikirim beberapa bulan setelah kerentanan driver Qualcomm GPU yang tercakup di dalamnya sudah dieksploitasi dan masuk katalog KEV.
Perbedaan pendekatan InfraTrust terletak pada cara pelaporan berbasis advisory vendor, bukan sekadar menghitung CVE individual. Sebuah advisory infrastruktur dapat memuat puluhan bahkan ratusan celah, sehingga admin perlu melihat dampak operasional, posisi perangkat di jaringan, dan kemungkinan eksploitasi aktif sebelum menentukan urutan patch.
Bagi tim keamanan, laporan ini memperkuat kebutuhan untuk memetakan perangkat edge, memantau advisory vendor secara rutin, mengecek eksposur internet, dan mengutamakan patch pada sistem yang dapat diakses tanpa autentikasi. Infrastruktur yang berada di jalur data utama sering kali menjadi target awal serangan, sehingga keterlambatan patch dapat membuka jalan kompromi yang lebih dalam ke lingkungan internal.
Sumber: InfraTrust Pulse
