Awal November 2026 menjadi salah satu periode paling sibuk bagi dunia keamanan siber. Dalam hitungan hari, publik dikejutkan oleh pencurian kripto bernilai miliaran dolar dari Binance, celah WordPress yang aktif dieksploitasi, kebocoran data puluhan ribu pegawai Departemen Keamanan Dalam Negeri Amerika Serikat (DHS), hingga celah autentikasi di OpenSSH. Berikut rangkuman empat kabar terheboh yang patut Anda ketahui.
1. Binance Dibobol Lewat Wawancara Kerja Palsu, Kerugian Sekitar US$6,3 Miliar
Kabar paling mengguncang datang dari Binance. Dalam laporan keamanan yang dirilis pada 3 November 2026, bursa kripto terbesar di dunia itu mengungkapkan bahwa peretas berhasil mencuri aset digital senilai sekitar US$6,3 miliar. Pintu masuknya bukan celah teknis yang rumit, melainkan wawancara kerja palsu.
Pelaku menghubungi seorang insinyur Binance melalui platform pencarian kerja yang sah dengan menyamar sebagai Project Director. Proses rekrutmen palsu itu dibuat meyakinkan, lengkap dengan wawancara oleh “HR” dan “CEO” gadungan. Pada tahap kedua, korban diminta mengunduh sebuah “tugas” ke komputer kerjanya. File tersebut ternyata berisi malware yang membuka akses ke infrastruktur dompet (wallet) Binance.
Binance juga menelusuri bahwa kampanye ini sudah dimulai sejak Juni, ketika seorang anggota timnya mengunduh installer palsu saat memasang alat bantu coding berbasis AI. Dari situ, pelaku bergerak lateral dan memanfaatkan sebuah alat AI internal untuk mengambil alih komputer dua insinyur dompet.
FBI mengaitkan serangan ini dengan kelompok peretas Korea Utara yang dijuluki TraderTraitor. Pyongyang membantah keterlibatannya. Kabar baiknya, sekitar US$2,85 miliar dari aset yang dicuri telah berhasil dibekukan atau dicegat. Binance menyebut telah menggagalkan 57 dugaan serangan terkait Korea Utara sepanjang tahun ini, tetapi satu serangan yang lolos sudah cukup untuk menimbulkan kerugian sebesar ini.
💡 Pelajaran: Rekayasa sosial tetap menjadi senjata paling ampuh. Jangan pernah menjalankan file “tugas” atau installer dari pihak yang belum terverifikasi di perangkat kerja, apalagi perangkat yang memiliki akses ke sistem sensitif.
2. Celah WordPress Core CVE-2026-119977 Aktif Dieksploitasi
Pada 3 November 2026, badan keamanan siber AS, CISA, memasukkan CVE-2026-119977 ke dalam katalog Known Exploited Vulnerabilities (KEV). Artinya, celah ini sudah terbukti dimanfaatkan penyerang di dunia nyata.
Celah ini termasuk jenis race condition TOCTOU (time-of-check time-of-use) pada mekanisme pembaruan inti WordPress. Uniknya, celah ini hanya terbuka saat proses update berlangsung. Ketika WordPress memperbarui dirinya, berkas versi baru diekstrak ke direktori sementara di bawah wp-content/upgrade yang namanya mudah ditebak. Penyerang dapat memanfaatkan jeda singkat itu untuk menjalankan kode jarak jauh (RCE).
Versi yang terdampak umumnya disebut mulai dari 4.7 hingga 7.1.3. Perbaikannya tersedia di WordPress 7.1.4 (dirilis 28 Oktober 2026), beserta rilis backport untuk cabang versi lama. Patch tersebut mengacak nama direktori staging dan menambahkan pengaman tambahan. WordPress menilai tingkat keparahannya rendah, sementara Wordfence memberi skor 8.1 (High).
💡 Pelajaran: Pemilik situs WordPress sebaiknya segera memperbarui ke versi 7.1.4 atau rilis keamanan terbaru di cabangnya, dan memeriksa apakah ada file asing di folder wp-content/upgrade.
3. Data Lebih dari 40.000 Pegawai DHS Bocor
Dari Amerika Serikat, seorang peretas yang menamakan dirinya “Department of Peace” membocorkan data pribadi lebih dari 40.000 pegawai Departemen Keamanan Dalam Negeri (DHS). Kasus ini pertama kali diberitakan TechCrunch pada akhir Oktober 2026.
Data yang bocor mencakup nama, jabatan, email kerja, nomor ponsel, dan lokasi kantor. Sekitar 21.000 data berasal dari pegawai Bea Cukai dan Perlindungan Perbatasan (CBP), sekitar 10.000 dari ICE dan HSI, serta hampir 1.000 dari CISA, lembaga yang justru bertugas menjaga keamanan siber AS.
Peretas mengklaim data diambil dari sistem single sign-on berbasis Okta. Namun Okta menyatakan tidak menemukan bukti sistemnya sendiri dibobol. DHS menyatakan sedang menangani “potensi pelanggaran” tersebut, sementara bagaimana pembobolan terjadi dan apakah celahnya sudah ditutup masih belum jelas.
💡 Pelajaran: Data kontak pegawai sering dianggap tidak sensitif, padahal informasi ini sangat berharga untuk serangan phishing yang ditargetkan dan dapat membahayakan keselamatan personel di lapangan.
4. “sshole”: Celah Bypass Password di OpenSSH
Kabar keempat datang dari perangkat lunak yang dipakai jutaan server di seluruh dunia: OpenSSH. Celah yang dijuluki “sshole” (CVE-2026-123158) memungkinkan penyerang melewati autentikasi password pada sistem tertentu.
Celah ini muncul ketika sshd dikompilasi dengan pustaka musl libc dan tanpa PAM. Akar masalahnya ada pada cara sshd menangani hasil fungsi crypt() milik musl saat menerima password yang sangat panjang. Menurut salah satu peneliti, akun yang password-nya di /etc/shadow berisi tepat * dapat menerima password apa pun sepanjang 257 sampai 1.024 karakter.
Sistem yang paling terdampak adalah Alpine Linux, yang secara default membangun paket OpenSSH dengan konfigurasi tersebut. Distribusi berbasis musl lain seperti OpenWrt, postmarketOS, dan Void Linux (musl) juga disebut berisiko. Perbaikannya sudah tersedia di OpenSSH 10.6p2 yang dirilis 5 November 2026, dan Alpine telah merilis paket yang sudah ditambal.
💡 Pelajaran: Banyak container Docker berbasis Alpine. Pastikan image dan server Anda segera diperbarui, dan pertimbangkan untuk menonaktifkan login SSH berbasis password, lalu beralih ke autentikasi kunci (key-based).
Kesimpulan
Keempat kabar di atas menunjukkan pola yang sama: celah terbesar sering kali bukan pada teknologi yang paling canggih, tetapi pada manusia (wawancara kerja palsu), proses rutin (jeda saat update WordPress), dan konfigurasi bawaan (OpenSSH di Alpine). Langkah paling efektif tetap yang paling sederhana: rutin memperbarui perangkat lunak, membatasi akses ke sistem sensitif, dan selalu waspada terhadap tawaran atau file dari pihak yang tidak dikenal.
Sumber
- BleepingComputer: Binance says fake job interview led to $6.3 billion crypto heist
- Fortune: North Korea used LinkedIn, fake job interviews to trick Binance engineer
- CISA: CISA Adds One Known Exploited Vulnerability to Catalog
- Ostorlab: WordPress Core Upgrade-Window RCE, Fixed in 7.1.4
- TechCrunch: Hacker stole personnel data about thousands of Homeland Security employees
- oss-security: “sshole” password authentication bypass, OpenSSH + musl libc
Leave a Reply