Kamis Keamanan Siber: Celah Kritis Oracle EBS, Update Besar Chrome dan Firefox, serta Penipuan “Helpdesk IT” Palsu di Teams

Kamis pagi adalah waktu yang pas untuk mengecek "pagar digital" kita. Periode liputan kali ini 26 sampai 29 Oktober 2026, dan ada tiga kabar yang paling berguna bagi pembaca umum maupun yang mengurus sistem di kantor. Ada celah kritis di Oracle E-Business Suite, pembaruan besar di Chrome dan Firefox, serta modus penipuan lewat Microsoft Teams yang terdengar sangat meyakinkan.

Sekilas Hari Ini

Oracle E-Business Suite: Celah Kritis Mulai Diintai

Oracle E-Business Suite (EBS) adalah perangkat lunak yang lazim dipakai perusahaan besar untuk keuangan, penggajian, SDM, dan pengadaan. Pada Rabu, 28 Oktober, The Hacker News melaporkan celah baru berkode CVE-2026-101767 dengan skor keparahan 9,8 dari 10. Celahnya berupa SQL injection tanpa autentikasi di komponen Application Object Library, yang menurut laporan itu dapat dirangkai menjadi eksekusi perintah di server.

Kabar baiknya, Oracle sudah merilis patch lewat Critical Patch Update Oktober 2026. Kabar kurang baiknya, perusahaan keamanan Defused Cyber mencatat aktivitas "penjajakan" pada 27 Oktober di sistem umpan miliknya. Itu belum terbukti sebagai serangan aktif di dunia nyata, jadi statusnya masih belum pasti. Namun EBS punya riwayat: dua celah kritis sebelumnya pernah dieksploitasi, salah satunya oleh kelompok pemeras Cl0p.

Kenapa penting: data yang tersimpan di EBS biasanya sangat sensitif. Bila kantor atau instansi kamu memakainya, jadikan patch ini prioritas. Bila belum bisa menambal, laporan itu menyarankan mengeluarkan jalur /OA_HTML/AppsTCFServer dari daftar izin firewall URL dan membatasi akses web EBS hanya dari jaringan tepercaya.

Chrome 156 dan Firefox 159: Waktunya Klik "Relaunch"

Pada 27 Oktober, Google merilis Chrome 156 (versi 156.0.8078.73) dengan 52 perbaikan keamanan, empat di antaranya berstatus Critical. Di hari yang sama, Mozilla lewat Security Advisory 2026-118 menambal 167 celah bersamaan dengan rilis Firefox 159. Menurut Malwarebytes, sebagian besar masalahnya berupa bug use-after-free di mesin tata letak, JavaScript, dan grafis SVG, yang bisa membuat peramban crash atau, pada kasus tertentu, menjalankan kode penyerang.

Peluncurannya bertahap selama beberapa hari hingga pekan, jadi jangan menunggu. Caranya mudah:

• Chrome: buka menu pengaturan, pilih Tentang Google Chrome, tunggu pengecekan, lalu klik Relaunch.
• Firefox: buka menu, Bantuan, Tentang Firefox, lalu relaunch. Pastikan versinya 159.0 atau lebih baru.

Catatan jujur: banyak dari kita membiarkan puluhan tab terbuka berminggu-minggu, dan pembaruan otomatis baru berlaku setelah peramban ditutup. Jadi tab-tab itu perlu "dipensiunkan" dengan hormat.

Helpdesk IT Palsu di Teams: Dibanjiri Email, Lalu "Ditolong"

Arctic Wolf, seperti dirangkum Help Net Security (27 Oktober), mendokumentasikan lebih dari 400 insiden dengan pola yang sama. Pertama, kotak masuk korban dibanjiri ratusan email langganan sehingga terasa ada masalah. Beberapa menit kemudian, seseorang yang mengaku petugas IT menghubungi lewat fitur chat eksternal Microsoft Teams dan menawarkan bantuan. Korban lalu diarahkan memasang alat akses jarak jauh, paling sering Quick Assist, dan diminta membacakan kode enam digit.

Setelah itu, penyerang mengunduh berkas lewat sesi jarak jauh tersebut, dan pada sebagian kasus berujung pencurian data atau ransomware. Tidak ada celah perangkat lunak yang dieksploitasi; yang diserang adalah rasa percaya. Laporan itu mencatat kompromi bisa terjadi kurang dari 15 menit, dan 30 sampai 40 persen kasus memakai tenant gratis onmicrosoft.com yang bisa dibuat dalam hitungan menit.

Saran pembelanya: izinkan chat eksternal hanya untuk domain mitra yang jelas, blokir akun tidak terkelola, batasi Quick Assist untuk staf IT resmi, dan biasakan memverifikasi permintaan "bantuan" lewat kanal yang sudah dikenal.

Benang Merah Hari Ini

Tiga kabar ini mengajarkan hal yang sama: patch yang tersedia tapi belum dipasang sama saja dengan pintu yang tidak dikunci, dan manusia tetap pintu yang paling sering diketuk. Untuk dua hal itu, kebiasaan kecil lebih ampuh daripada alat mahal, yaitu memperbarui rutin dan bertanya "benarkah ini dari IT kami?" sebelum membagikan kode apa pun. Bacaan terkait tentang gelombang pembobolan sebelumnya ada di Kamis Keamanan Siber pekan lalu.

Bagaimana dengan kantor atau tempat kamu bekerja, apakah chat eksternal Teams-nya sudah dibatasi? Ceritakan di kolom komentar.

Sumber

• The Hacker News: Hackers Target Critical Oracle E-Business Suite RCE Flaw Days After Security Patch
• Malwarebytes: Chrome and Firefox updates fix serious security flaws
• Help Net Security: Fake IT help desk attacks via Microsoft Teams
• Cadre: IT Security Newsletter 28 Oktober 2026