Pemindai AI Anthropic Lebih Dulu Temukan Celah RCE Kritis di Apache HTTP/2
Pemindai keamanan berbasis AI milik Anthropic menjadi pihak pertama yang melaporkan celah kritis CVE-2026-119618 di mod_http2 milik Apache HTTP Server, yang memungkinkan eksekusi kode jarak jauh tanpa autentikasi. Catatan CVE terbit pada 11 November 2026 bersama rilis httpd 2.4.71 yang menambal semua versi 2.4.55 sampai 2.4.70. Google Cloud Vulnerability Research menemukan celah yang sama secara independen delapan hari kemudian, sehingga server web yang masih mengaktifkan HTTP/2 kini harus segera diperbarui.
Apa Isi Celah CVE-2026-119618 di mod_http2?
CVE-2026-119618 adalah celah pada fungsi assign_headers() di mod_http2, modul HTTP/2 milik Apache HTTP Server. Penyebabnya kondisi balapan (CWE-362) yang merusak memori heap dan bisa berujung pada eksekusi kode jarak jauh. Versi httpd 2.4.55 sampai 2.4.70 terdampak, begitu pula mod_h2 dari GitHub versi 2.0.8 sampai 2.0.42.
Red Hat menjelaskan akar masalahnya sebagai cacat keamanan antarutas. Menurut penjelasan di portal keamanannya, satu utas pekerja menulis ke memori milik utas koneksi lewat alokator bersama yang tidak memakai kunci. Karena itu hanya server dengan HTTP/2 aktif, baik h2 maupun h2c lewat direktif Protocols, yang rentan. Server yang hanya melayani HTTP/1.1 tidak terdampak.
Dampaknya serius karena penyerang tidak memerlukan akun apa pun. Tim Red Hat Product Security menilai celah ini Critical karena "allows unauthenticated remote code execution," atau memungkinkan eksekusi kode tanpa autentikasi, dan menyebut riset publik telah menunjukkan eksploit yang andal pada server berkonfigurasi bawaan. Cloud Security Alliance mencatat skor CVSS 9,8 dalam briefing hariannya pada 12 November 2026.
Ada satu catatan penting soal klaim eksploit itu. Cloud Security Alliance menyatakan tidak berhasil menemukan riset eksploit yang dirujuk Red Hat, dan belum ada laporan eksploitasi di lapangan. Artinya ancamannya nyata tetapi belum terbukti dipakai massal. Jendela waktu untuk menambal justru terbuka lebar, sebelum kode serangan yang andal beredar luas.
Bagaimana Pemindai AI Anthropic dan Google Menemukannya?
Catatan CVE mencantumkan dua penemu: pemindai sumber terbuka milik Anthropic, yang mencatat celah ini sebagai ANT-2026-MAPKT6MZ, serta Anthony Weems dan Simon Scannell dari Google Cloud Vulnerability Research. Linimasa CVE menunjukkan Anthropic melapor pada 26 Oktober 2026, sedangkan Google melapor pada 3 November 2026, selisih delapan hari.
Kredit untuk temuan ini tertulis jelas di changelog resmi Apache 2.4.71: "Anthropic's OSS Scanner, as vulnerability ANT-2026-MAPKT6MZ." Changelog yang sama memuat dua perbaikan keamanan lain, yaitu CVE-2026-109163 di mod_vhost_alias berupa luapan penyangga satu byte, dan CVE-2026-106023 di mod_md yang bisa menjatuhkan proses anak.
Temuan ini menambah daftar celah yang ditemukan lebih dulu oleh perangkat AI. Peneliti manusia dari Google menemukan masalah yang sama secara terpisah, sehingga muncul pertanyaan praktis bagi tim keamanan: jika dua pihak menemukan celah yang sama dalam hitungan hari, berapa lama sampai pihak ketiga yang tidak melapor ikut menemukannya? Jawaban aman bagi pengelola server adalah menambal secepat mungkin.
Perlu dicatat, tulisan ini tidak mengklaim siapa yang lebih unggul. Yang terdokumentasi hanya urutan waktu laporan di catatan CVE dan kredit di changelog Apache.
Cara Menambal dan Status Paket di Distribusi Linux
Perbaikan resmi dari pengembang adalah httpd 2.4.71. Bagi yang belum bisa memperbarui, mitigasi sementara yang dianjurkan Cloud Security Alliance adalah menghapus h2 dan h2c dari direktif Protocols. Periksa dulu apakah ada layanan, seperti backend gRPC, yang bergantung pada HTTP/2 sebelum mematikannya, agar tidak memutus aplikasi yang berjalan.
Distribusi Linux menerbitkan tambalan dengan cepat. Ubuntu merilis USN-9090-1 pada 12 November 2026 dengan prioritas High dan catatan "This is a remote RCE." Versi yang sudah diperbaiki tersedia untuk 24.04 LTS (2.4.58-1ubuntu8.19) dan 22.04 LTS (2.4.52-1ubuntu4.27), sedangkan 20.04 memerlukan Ubuntu Pro. Ubuntu 18.04 dicatat tidak terdampak.
Debian menerbitkan DSA-6620-1 dan DLA-4902-1. Paket bookworm sudah diperbaiki di versi 2.4.71-1~deb12u1 dan trixie di 2.4.71-1~deb13u1. Red Hat menurunkan tingkat keparahan menjadi Important untuk RHEL 9 dan RHEL 10 karena paket di sana memakai alokator terpisah per aliran HTTP/2, sementara RHEL 8 dan sebelumnya dinyatakan tidak terdampak.
Bagi perusahaan, daftar kerja intinya pendek: inventarisasi server Apache yang mengaktifkan HTTP/2, cek versi paket distribusi, terapkan tambalan, lalu mulai ulang layanan. Server di balik penyeimbang beban atau CDN yang mengakhiri HTTP/2 di depan tetap perlu dicek, karena konfigurasi di belakangnya bisa berbeda dengan yang terlihat dari luar.
Dampaknya bagi Perusahaan dan Instansi di Indonesia
Apache HTTP Server masih menjadi komponen umum di server perusahaan, portal instansi, dan aplikasi lama yang dirawat bertahun-tahun. Kejadian ini menunjukkan jarak antara rilis tambalan resmi dan paket yang benar-benar terpasang. Tim operasional perlu memantau buletin distribusi, bukan hanya situs pengembangnya.
Bagi perusahaan dan BUMN di Indonesia, pelajaran utamanya adalah kecepatan. Celah tanpa autentikasi dengan skor 9,8 layak masuk jalur tambalan darurat, bukan jadwal pemeliharaan bulanan. Siapkan juga catatan aset yang akurat, sebab server yang tidak terdata adalah server yang tidak ikut ditambal.
Ada pula soal umur sistem. Ubuntu 20.04 hanya menerima perbaikan lewat Ubuntu Pro, sementara tiap distribusi memberi nomor versi paket yang berbeda dari 2.4.71. Perusahaan yang masih menjalankan rilis lama perlu memastikan masa dukungan keamanannya masih berlaku, sebab tambalan yang tersedia di satu distribusi belum tentu bisa dipasang gratis di distribusi lain.
Terakhir, bagi perusahaan dan instansi di Indonesia, siapkan rencana jika tambalan terlambat. Mematikan h2 dan h2c sementara memang menurunkan risiko, tetapi layanan yang bergantung pada HTTP/2 harus diuji lebih dulu. Tim yang sudah punya prosedur tanggap insiden dan daftar layanan kritis akan jauh lebih cepat memutuskan langkah mana yang aman diambil saat peringatan seperti ini datang.
(Burung Hantu Infratek / Berbagai Sumber)
Foto sampul: ilustrasi dibuat dengan AI, bukan foto produk atau kejadian asli.
⚠️ Berita ini seluruhnya diriset, ditulis, dan dikembangkan dengan bantuan AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Berita Terkait Celah Keamanan Temuan AI
🛡️ Manajemen Patch di Era AI Penemu Celah: Pelajaran bagi Perusahaan Indonesia
🧠 Anthropic Temukan 2 Celah Xen via Claude; Tamu VM Bisa Baca Dom0
🔥 CISA Tandai Celah GPUStack Dieksploitasi dan Beri Agensi AS Tenggat Tiga Hari
🚫 Komdigi Minta Perusahaan Siapkan Tim Tanggap Insiden Usai Ancaman Agentic AI
Sumber dan Referensi
[2] Changes with Apache 2.4.71 - Apache HTTP Server Project
[3] CVE-2026-119618 - Red Hat Customer Portal
[4] CVE-2026-119618 - Ubuntu Security
[5] CVE-2026-119618 - Debian Security Tracker
[6] CISO Daily Briefing, 2026-11-12 - Cloud Security Alliance