Gawat! Dua Celah Keamanan TPM AMD Bobol Ratusan Juta Prosesor, dari Ryzen 3000 hingga EPYC

Pada 11–13 Agustus 2026, AMD mengungkap dua celah keamanan TPM 2.0 dengan tingkat keparahan tinggi dalam buletin AMD-SB-7064 . Kerentanan ini memengaruhi prosesor Ryzen seri 3000 hingga 9000, Threadripper, EPYC, dan prosesor embedded — hampir seluruh lini prosesor modern AMD . Menariknya, celah ini pertama kali dilaporkan oleh peneliti keamanan dari Intel .

Kabar baiknya, perbaikan firmware (Platform Initialization) sudah didistribusikan AMD ke pabrikan motherboard sejak Mei–Juni 2026. Vendor besar seperti ASUS, MSI, Gigabyte, dan ASRock sudah merilis pembaruan BIOS . Artinya, pengguna tinggal mengunduh dan menginstal BIOS terbaru.

CVE-2026-6726 — Pembacaan di Luar Batas / Slot Objek Tidak Benar

• Jenis: Kerentanan pembacaan di luar batas (out-of-bounds read) pada implementasi referensi TPM 2.0 .
• Skor CVSS: 8,5 (CVSS v4.0, Tinggi) — Vektor: CVSS:4.0/AV:L/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N ; 7,9 (CVSS v3.1, Tinggi) — Vektor: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N .
• Cara Eksploitasi: Penyerang lokal dengan hak istimewa (PR:H) yang bisa mengirim perintah jahat ke TPM dari aplikasi mode pengguna .
• Dampak: Kebocoran informasi yang memungkinkan penyerang mendapatkan kredensial dari Certificate Authority (CA) yang mendukung TPM untuk kunci TPM palsu (misalnya Attestation Key, DevID Key, kunci autentikasi TLS). Ini bisa berujung pada pemalsuan kunci enkripsi TPM dan mekanisme atestasi lainnya .

CVE-2026-6727 — Celah Sisi Waktu pada Dekripsi RSA OAEP

• Jenis: Celah sisi waktu (timing side-channel) pada implementasi dekripsi RSA OAEP .
• Skor CVSS: 8,3 (CVSS v4.0, Tinggi) menurut beberapa laporan ; 5,9 (CVSS v3.1, Sedang) dari CISA-ADP — Vektor: CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N ; 5,9 (CVSS v3.1, Penting) dalam daftar Patch Tuesday Microsoft .
• Cara Eksploitasi: Penyerang lokal dengan hak istimewa yang memiliki akses ke antarmuka perintah TPM. Serangan ini tidak sepele karena kompleksitas serangan yang "Tinggi" (AC:H) dan memerlukan akses fisik atau lokal ke sistem .

Prosesor yang Terdampak

Cakupan prosesor yang terdampak sangat luas, meliputi:

• Desktop: Ryzen seri 3000, 4000, 5000, 7000, 8000, dan 9000
• Mobile/Laptop: Ryzen AI 300/400, Ryzen AI Max 300, Ryzen seri 3000–5000 Mobile
• Workstation: Ryzen Threadripper PRO (seri 5000WX, 7000WX) dan Threadripper

Timeline Perbaikan

• Mei–Juni 2026: AMD mulai mendistribusikan perbaikan firmware Platform Initialization (PI) ke mitra OEM dan motherboard. Sebagai contoh, update ComboAM5PI 1.2.0.3k (mencakup EPYC 4004 dan Ryzen 7000/9000) dirilis pada 31 Mei 2026 .
• Per 17 Juni 2026: Catatan NVD menunjukkan daftar produk terdampak diperbarui dengan versi paket PI dan tanggal rilis .
• 11–13 Agustus 2026: AMD secara publik mengungkap kedua celah melalui AMD-SB-7064; ASUS, MSI, Gigabyte, dan ASRock telah mendorong pembaruan BIOS .

Konteks Patch Tuesday Agustus 2026

Kedua CVE diterbitkan ulang oleh MITRE dan muncul dalam Patch Tuesday Microsoft Agustus 2026 (11 Agustus 2026) di bawah tag "Windows TPM", dengan tingkat keparahan Penting . Namun, Microsoft tidak merilis pembaruan keamanan sisi Windows atau artikel KB untuk kedua CVE ini — hanya pembaruan firmware TPM (BIOS/UEFI) dari vendor perangkat keras yang dapat memperbaiki celah tersebut . Total Patch Tuesday Agustus 2026 mencakup 421 CVE, dengan dua celah TPM ini menjadi sorotan utama karena cakupan produk AMD yang luas dan asal laporan (peneliti Intel melaporkan bug TPM pada sistem AMD) .

Yang Harus Dilakukan Pengguna

Kedua celah ini memerlukan akses lokal dengan hak istimewa, sehingga risiko bagi pengguna rumahan relatif rendah. Namun, pengguna korporat dan enterprise harus memprioritaskan pembaruan BIOS pada sistem bersama atau multi-pengguna. Langkah-langkah:

1. Kunjungi situs web vendor motherboard Anda (ASUS, MSI, Gigabyte, ASROCK, dll.) dan cari pembaruan BIOS yang merujuk pada AMD-SB-7064 atau ComboAM5PI 1.2.0.3k atau yang lebih baru.
2. Instal pembaruan BIOS sesuai petunjuk pabrikan.
3. Pastikan pembaruan sudah mencakup perbaikan Platform Initialization (PI) bertanggal Mei–Juni 2026 atau yang lebih baru.