Cisco Peringatkan Dua Kerentanan ClamAV dengan Exploit yang Sudah Tersedia untuk Publik
Cisco memperingatkan dua kerentanan berseverity tinggi pada ClamAV yang dapat dimanfaatkan penyerang untuk menghentikan proses pemindaian antivirus dan menyebabkan kondisi denial-of-service (DoS).
Kedua celah keamanan tersebut menjadi perhatian lebih serius karena proof-of-concept (PoC) exploit untuk mengeksploitasinya telah tersedia secara publik. Meski demikian, Cisco mengatakan belum menemukan bukti bahwa kedua kerentanan tersebut telah dieksploitasi dalam serangan nyata.
Kerentanan tersebut tercatat sebagai CVE-2026-20337 dan CVE-2026-20338. Keduanya ditemukan pada ZIP archive parser milik ClamAV, antivirus open-source dan cross-platform yang banyak digunakan untuk mendeteksi malware pada file.
Dua Kerentanan Berasal dari Masalah Pemrosesan ZIP
CVE-2026-20337 berkaitan dengan improper boundary checks, sedangkan CVE-2026-20338 disebabkan oleh masalah dalam memory handling.
Kedua kelemahan tersebut dapat dieksploitasi oleh penyerang jarak jauh tanpa autentikasi dengan mengirimkan file ZIP yang telah dimodifikasi secara khusus untuk dipindai oleh ClamAV.
Apabila eksploitasi berhasil, proses scanning ClamAV dapat mengalami crash atau berhenti secara tiba-tiba. Kondisi tersebut memungkinkan terjadinya denial-of-service karena perangkat lunak yang mengandalkan ClamAV tidak dapat menjalankan proses pemindaian seperti biasanya.
Cisco menjelaskan bahwa serangan dapat dilakukan dengan mengirimkan ZIP berbahaya ke sistem yang menggunakan ClamAV untuk kemudian diproses oleh scanner.
Karena tidak membutuhkan autentikasi, celah tersebut dapat menjadi risiko terutama pada sistem yang menerima file dari sumber eksternal dan secara otomatis menjalankan proses scanning.
Dampak Lebih Serius pada Windows
Cisco menilai tingkat dampak keamanan kedua kerentanan tersebut paling tinggi pada platform Windows.
Alasannya, ClamAV scanning process pada Windows berjalan dalam privileged security context. Jika proses tersebut berhasil dihentikan melalui eksploitasi, dampaknya dapat lebih signifikan terhadap sistem yang bergantung pada Secure Endpoint Connector untuk menjalankan pemeriksaan keamanan file.
Sementara itu, Cisco juga mencatat bahwa kerentanan tersebut memengaruhi Secure Endpoint Connector pada Windows, Linux, dan Mac. Namun, konteks keamanan privileged pada Windows membuat konsekuensi eksploitasi dinilai lebih serius dibandingkan platform lainnya.
ClamAV 1.5.0 hingga 1.5.3 Terdampak
Kerentanan CVE-2026-20337 dan CVE-2026-20338 memengaruhi ClamAV versi 1.5.0 hingga 1.5.3.
Perbaikan telah tersedia dalam ClamAV 1.5.4 yang dirilis pada 7 Agustus 2026. Administrator yang menggunakan versi terdampak disarankan segera melakukan pembaruan untuk mengurangi risiko eksploitasi.
Tidak tersedia workaround khusus untuk kedua kerentanan tersebut. Cisco juga menyatakan akan merilis pembaruan perangkat lunak untuk Secure Endpoint Connector yang terdampak pada Windows, Linux, dan Mac dalam waktu dekat.
Lima Celah ClamAV Lainnya Turut Ditambal
Selain dua kerentanan tersebut, Cisco pada waktu yang sama memperbaiki lima celah keamanan ClamAV lainnya.
Kelima kerentanan tersebut juga dapat dimanfaatkan untuk menyebabkan denial-of-service dengan mengirimkan file berbahaya dalam format tertentu kepada scanner.
Format file yang dapat digunakan dalam serangan mencakup XAR, Mach-O, PDF, GPT, dan PESpin.
Pola serangan tersebut memiliki karakteristik yang serupa, yaitu memanfaatkan proses parsing file pada ClamAV untuk menyebabkan scanner mengalami crash atau berhenti beroperasi.
Masalah pada parser menjadi perhatian penting bagi perangkat lunak antivirus karena scanner harus memproses berbagai jenis file yang berasal dari sumber yang tidak selalu dapat dipercaya.
Bukan Pertama Kalinya ClamAV Menghadapi DoS dengan PoC Publik
Cisco sebelumnya juga pernah menambal kerentanan ClamAV yang dapat dimanfaatkan untuk menyebabkan denial-of-service. Pada Januari 2025, perusahaan memperbaiki celah lain yang sudah memiliki PoC exploit.
Kerentanan tersebut memungkinkan penyerang menghentikan proses antivirus ClamAV sehingga aktivitas pemindaian file berikutnya dapat tertunda atau tidak berjalan.
Ketersediaan PoC pada kerentanan terbaru kembali meningkatkan perhatian terhadap sistem yang menjalankan ClamAV, khususnya karena exploit dapat digunakan untuk mengganggu fungsi keamanan yang seharusnya mendeteksi malware.
Administrator Perlu Memprioritaskan Pembaruan
Meskipun belum ada indikasi CVE-2026-20337 dan CVE-2026-20338 telah dieksploitasi di dunia nyata, keberadaan PoC publik membuat organisasi perlu mempercepat proses patching.
Risikonya tidak hanya berkaitan dengan kemungkinan serangan langsung terhadap ClamAV, tetapi juga dengan potensi terganggunya proses scanning pada endpoint dan server yang bergantung pada antivirus tersebut.
Administrator sebaiknya memastikan seluruh instalasi ClamAV telah diperbarui ke versi yang telah memperbaiki kerentanan, sekaligus memeriksa versi Secure Endpoint Connector yang digunakan pada lingkungan organisasi.
Perhatian khusus perlu diberikan pada perangkat Windows karena ClamAV scanning process berjalan dengan hak akses tinggi pada platform tersebut.
Cisco juga mencatat bahwa sejak November 2021, sebanyak 95 kerentanan Cisco telah dimasukkan ke dalam katalog Known Exploited Vulnerabilities milik pemerintah Amerika Serikat. Enam di antaranya diketahui pernah dimanfaatkan dalam serangan ransomware.
Hal tersebut menunjukkan bahwa kerentanan pada produk keamanan dan perangkat jaringan tetap perlu diperlakukan sebagai bagian penting dari patch management, terutama ketika exploit atau PoC telah tersedia untuk publik.
Sumber: Cisco
