CVE-2026-5426: Bagaimana Satu Kunci Default Membuka Jalan bagi Serangan Rantai Pasok Bertingkat

Sebuah investigasi respons insiden oleh Mandiant, divisi intelijen ancaman Google, pada akhir tahun 2025 mengungkap contoh sempurna bagaimana satu kesalahan konfigurasi dapat berkembang menjadi kompromi total bertingkat. Targetnya adalah KnowledgeDeliver, sebuah Learning Management System (LMS)—platform manajemen pembelajaran daring—populer asal Jepang yang dibangun di atas framework ASP.NET. Akar masalahnya adalah machineKey ASP.NET statis yang dikeraskan (hard-coded) dan dikirimkan secara identik di setiap instalasi pelanggan . Kelemahan kritis ini, yang dilacak sebagai CVE-2026-5426, memberikan aktor ancaman kemampuan untuk melakukan unauthenticated remote code execution (RCE), atau eksekusi kode jarak jauh tanpa perlu login, pada server LMS yang terhubung ke internet. Mereka memanfaatkan pijakan ini bukan hanya untuk mengendalikan server, tetapi juga untuk mengubah platform pendidikan yang tepercaya menjadi
"sumber air beracun" (watering hole), yang akhirnya menyebarkan backdoor Cobalt Strike Beacon ke workstation para pengunjung yang tidak curiga .

Kerentanan Inti: Satu "Rahasia" untuk Semua

Keparahan CVE-2026-5426 berasal dari kegagalan desain yang fundamental. Elemen machineKey dalam file web.config aplikasi ASP.NET dirancang sebagai sebuah rahasia kriptografis yang unik untuk setiap server. Fungsinya untuk mengenkripsi dan memvalidasi data sensitif seperti ViewState dan tiket autentikasi. Namun, Digital Knowledge mengirimkan satu machineKey statis—berisi validationKey dan decryptionKey—dalam file konfigurasi standar untuk setiap pelanggan KnowledgeDeliver .

Karena kunci ini identik di semua penerapan dan dikeraskan, ia pada dasarnya menjadi rahasia umum. Penyerang yang mendapatkan kunci ini dapat membuat payload ViewState berbahaya yang sudah diserialisasi. Dengan mengirimkan payload ini dalam permintaan POST ke halaman .aspx mana pun, mereka dapat melewati mekanisme anti-rusak ASP.NET. Server akan menerima ViewState palsu itu sebagai data yang sah dan melakukan deserialisasi, memungkinkan penyerang mengeksekusi kode arbitrer di server web IIS yang mendasarinya tanpa perlu autentikasi sama sekali . NVD memberikan skor CVSS 7.5 (Tinggi) untuk kerentanan ini, yang mencerminkan mudahnya eksploitasi berbasis jaringan oleh penyerang tanpa kredensial .

Rantai Serangan: Dari Akses Server hingga Infeksi Pengguna

Investigasi Mandiant mendokumentasikan serangan multi-tahap canggih yang
"mempersenjatai" platform melawan penggunanya sendiri .

Tahap 1: Eksekusi Kode Jarak Jauh Tanpa Login

Penyerang memulai kompromi dengan menemukan halaman login KnowledgeDeliver yang terpapar publik dan mengirimkan permintaan HTTP POST yang dibuat khusus. Isi dari permintaan ini berisi ViewState berbahaya yang dipalsukan menggunakan machineKey yang telah diketahui. Setelah deserialisasi, payload tersebut mengeksekusi kode dengan hak istimewa proses pekerja IIS (IIS worker process), memberi penyerang akses awal yang tidak terautentikasi ke server .

Tahap 2: Membangun Persistensi dengan Web Shell Godzilla

Untuk mempertahankan akses jangka panjang, penyerang menyebarkan web shell dalam memori yang dikenal sebagai Godzilla, yang secara internal dilacak Mandiant sebagai BLUEBEAM. Alat berbasis .NET ini memungkinkan aktor ancaman untuk mengeksekusi perintah, mengunggah file, dan mengelola server yang disusupi tanpa meninggalkan file .aspx berbahaya di disk, membuat deteksi melalui pemindaian file sederhana jauh lebih sulit .

Tahap 3: Menyuntikkan Skrip Perangkap

Dengan saluran perintah persisten yang telah terbentuk, penyerang menggunakan web shell untuk memodifikasi file JavaScript yang disajikan oleh platform LMS. Mereka menyuntikkan skrip jarak jauh yang menampilkan peringatan keamanan atau prompt palsu kepada pengguna akhir yang mengunjungi situs yang disusupi. Komponen rekayasa sosial (social engineering) ini adalah titik kritis, mengubah kompromi server menjadi ancaman langsung bagi setiap siswa atau karyawan yang menggunakan LMS tersebut .

Tahap 4: Menginfeksi Pengguna Akhir dengan Cobalt Strike Beacon

Skrip yang disuntikkan mengarahkan korban untuk mengunduh apa yang tampak sebagai plugin atau penginstal penting. Kenyataannya, file yang diunduh adalah payload Cobalt Strike Beacon. Backdoor berkemampuan tinggi ini membuat koneksi persisten ke infrastruktur command-and-control (C2) penyerang, memberi mereka akses jauh penuh ke workstation korban. Mandiant mencatat bahwa file payload dienkripsi menggunakan nama organisasi yang disusupi sebagai kuncinya, yang sangat menunjukkan bahwa penyerang secara spesifik menyiapkan payload untuk target yang dituju .

Langkah Remediasi yang Direkomendasikan Mandiant

Berdasarkan analisis mereka, Mandiant menguraikan tindakan segera dan jangka panjang bagi para pembela keamanan yang menerapkan KnowledgeDeliver :

• Hasilkan machineKey yang Unik: Langkah paling kritis adalah segera mengganti machineKey yang dikeraskan di file web.config dengan kunci baru yang dihasilkan secara acak dan aman, unik untuk penerapan spesifik Anda. Ini meniadakan inti dari kerentanan CVE-2026-5426 .
• Terapkan Patch Vendor: Instal pembaruan resmi KnowledgeDeliver yang dirilis pada 24 Februari 2026, yang mengatasi masalah kunci yang dikeraskan di tingkat aplikasi .
• Perkuat Konfigurasi ViewState: Aktifkan enkripsi ViewState dan validasi message authentication code (MAC) secara eksplisit. Jika memungkinkan, batasi penggunaan ViewState hanya untuk sesi pengguna yang terautentikasi.
• Lakukan Investigasi Forensik: Periksa log server IIS untuk permintaan POST yang mencurigakan ke halaman .aspx, yang merupakan indikator kuat upaya eksploitasi ViewState. Gunakan alat Endpoint Detection and Response (EDR) untuk memindai server dan jaringan dari Indikator Kompromi (IOC) terkait web shell Godzilla atau Cobalt Strike Beacon .
• Tingkatkan Segmentasi Jaringan: Pastikan server LMS terisolasi secara logis dari workstation pengguna akhir dan aset penting lainnya untuk membatasi peluang pergerakan lateral jika terjadi kompromi server.
• Sesuaikan Aturan Deteksi Titik Akhir: Terapkan atau sempurnakan deteksi EDR untuk mengidentifikasi payload Beacon di workstation dan menandai hubungan proses induk-anak yang mencurigakan yang berasal dari proses pekerja IIS (w3wp.exe).
• Pantau Aktivitas Pasca-Eksploitasi: Secara aktif mencari tanda-tanda pencurian kredensial, pergerakan lateral, dan eksfiltrasi data yang mungkin mengikuti penyebaran Cobalt Strike Beacon, karena ini menunjukkan adanya pergeseran ke tujuan yang lebih terarah.

Insiden ini menjadi pengingat nyata bahwa pengaturan keamanan bawaan pada perangkat lunak pihak ketiga sangatlah penting. Sebuah rahasia yang dibagikan, yang tertanam dalam produk yang digunakan secara luas, dapat menjadi "kunci kerangka" bagi penyerang untuk tidak hanya membobol server, tetapi juga mempersenjatai aplikasi tepercaya melawan seluruh basis penggunanya.