CISA Peringatkan Serangan Aktif yang Mengeksploitasi Celah Langflow, N-central, dan Apache Tomcat
Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) mengeluarkan peringatan terkait tiga kerentanan keamanan yang diketahui sedang dieksploitasi secara aktif oleh pelaku ancaman. Kerentanan tersebut ditemukan pada IBM Langflow, N-able N-central, dan Apache Tomcat.
Sebagai tindak lanjut, CISA memberikan tenggat waktu selama tiga hari kepada seluruh instansi pemerintah federal di Amerika Serikat untuk segera menerapkan mitigasi atau pembaruan keamanan pada sistem yang terdampak.
Langflow Memiliki Kerentanan Paling Kritis
Kerentanan paling berbahaya adalah CVE-2026-9198 yang memengaruhi IBM Langflow, framework visual untuk membangun agen berbasis kecerdasan buatan (AI).
Celah ini memperoleh skor CVSS 9.8 (Critical) karena memungkinkan penyerang yang tidak memiliki autentikasi menjalankan Remote Code Execution (RCE) pada instalasi Langflow dengan konfigurasi bawaan.
Serangan dilakukan dengan menggabungkan dua endpoint API sehingga mekanisme login dapat dilewati sebelum akhirnya menjalankan kode berbahaya pada server.
Pada akhir Juli lalu, sejumlah Proof-of-Concept (PoC) yang berfungsi penuh beserta panduan eksploitasinya mulai beredar secara publik, sehingga meningkatkan risiko penyalahgunaan oleh pelaku ancaman.
Menariknya, dua minggu sebelumnya CISA juga telah memperingatkan eksploitasi aktif terhadap kerentanan kritis Langflow lainnya, yaitu CVE-2026-0770, yang memungkinkan penyerang memperoleh hak akses root melalui serangan Remote Code Execution.
N-central Kembali Menjadi Target Serangan
Kerentanan kedua adalah CVE-2026-18576 yang memengaruhi N-able N-central, platform Remote Monitoring and Management (RMM) yang banyak digunakan penyedia layanan TI.
Celah ini memungkinkan penyerang mengambil alih akun administrator tanpa perlu melakukan autentikasi.
Meskipun N-able sebelumnya telah merilis pembaruan keamanan, vendor mengungkapkan bahwa perbaikan awal ternyata belum sepenuhnya menutup celah tersebut. Pelaku ancaman berhasil menemukan metode baru untuk mengeksploitasinya.
Pada 1 Agustus, N-able mengonfirmasi bahwa kerentanan tersebut telah dimanfaatkan dalam serangan nyata dan kemudian merilis emergency hotfix pada hari Minggu.
Perusahaan mendesak seluruh pelanggan agar segera memasang pembaruan tersebut karena seluruh versi N-central sebelum 2026.3 terdampak.
Apache Tomcat Juga Diserang
CISA juga memasukkan CVE-2026-34486 ke dalam daftar kerentanan yang sedang dieksploitasi.
Kerentanan pada Apache Tomcat ini memiliki skor CVSS 7.5 (High) dan merupakan akibat dari perbaikan yang tidak lengkap terhadap CVE-2026-29146, sebuah kerentanan kritis dengan skor 9.8 yang berkaitan dengan tidak terenkripsinya data sensitif.
Pada 30 Juli, peneliti dari Palo Alto Networks Unit 42 melaporkan adanya kampanye manual yang dilakukan oleh kelompok ancaman berbahasa Mandarin untuk mengeksploitasi kerentanan tersebut.
Dalam serangan tersebut, pelaku berupaya menanamkan reverse shell pada sembilan server Apache Tomcat yang menjadi target.
Masuk Daftar KEV CISA
Karena telah terbukti digunakan dalam serangan nyata, ketiga kerentanan tersebut kini resmi dimasukkan ke dalam katalog Known Exploited Vulnerabilities (KEV) milik CISA.
Meski demikian, CISA belum mengungkapkan secara rinci jenis serangan yang memanfaatkan ketiga celah tersebut dan menyatakan belum diketahui apakah eksploitasi tersebut berkaitan dengan kampanye ransomware.
Sebagai langkah mitigasi, seluruh organisasi yang menggunakan Langflow, N-central, maupun Apache Tomcat disarankan untuk segera memasang pembaruan keamanan terbaru, menerapkan seluruh mitigasi yang disediakan vendor, serta memantau aktivitas sistem guna mendeteksi indikasi eksploitasi.
Sumber: CISA
