Viral hari ini di dunia keamanan siber: model riset internal Anthropic yang belum dirilis menemukan celah kritis di Chrome, Safari, Android, Windows, dan Linux, lalu merangkainya menjadi lima rantai serangan yang bisa dijalankan. Temuan itu dipublikasikan tim Frontier Red Team pada Selasa, 27 Oktober 2026.
Yang membuat laporan ini diperhatikan bukan satu celah tertentu, melainkan kemampuannya menyatukan beberapa kelemahan berbeda menjadi satu exploit utuh. Pekerjaan seperti itu biasanya dilakukan tim peneliti keamanan khusus dalam hitungan minggu.
Semua celah sudah dilaporkan ke vendor masing-masing dan sudah ditambal sebelum laporan terbit. Tidak ada bukti rangkaian serangan ini dipakai dalam serangan nyata. Eksploit dibuat di laboratorium setelah model diberi instruksi awal.
Lima Rantai Serangan yang Dibangun Model Anthropic
Anthropic merinci lima sasaran: browser Chrome di macOS, browser Safari, ponsel Android, server Windows, dan server Linux. Setiap rantai disusun dari beberapa kelemahan yang saling melengkapi, bukan satu bug tunggal.
Rantai paling banyak dibahas adalah Chrome. Model menemukan empat kelemahan berurutan: korupsi memori di mesin JavaScript V8, jalan keluar dari sandbox memori V8 sekaligus menembus pengacakan alamat memori, kondisi balapan di fitur CacheStorage, dan use-after-free di FedCM, fitur masuk terpadu Chrome.
Hasil akhirnya adalah eksekusi kode di luar sandbox browser. Dalam uji coba, halaman berbahaya berhasil membuka aplikasi Calculator di Mac dengan Chrome bawaan hanya dalam hitungan detik setelah halaman dimuat, tanpa klik tambahan (Anthropic).
Rantai Safari punya sifat berbeda karena tidak menjalankan kode sama sekali. Model memakai akses baca dan tulis ke memori proses browser untuk mengubah satu nilai, lalu mematikan kebijakan asal yang sama atau same-origin policy (The Hacker News).
Iklan
Paviliun Akademika: punya kost tanpa repot kelola
Paviliun Akademika menghadirkan pilihan investasi kost terkelola di Akademika Townhouse, Gowa. Unit disiapkan untuk disewakan, dengan pengelolaan kawasan yang ditangani pemilik proyek.
62 CVE di Chrome dan Angka yang Saling Silang
Untuk Chrome, Anthropic melaporkan 62 celah yang memperoleh nomor CVE dan sudah ditambal per Chrome 156. Semuanya dinilai kritis atau tinggi, termasuk 13 jalan keluar sandbox dan 21 celah yang bisa dipakai menguasai proses renderer (Anthropic).
Catatan rilis Chrome 156 yang diterbitkan 20 Oktober memuat 52 perbaikan keamanan. Angka itu mencakup laporan dari berbagai pihak, termasuk tim internal Google dan peneliti lain, sehingga tidak bisa disandingkan langsung dengan 62 celah versi Anthropic (catatan rilis Chrome 156).
Google memberi kredit kepada Xinyang Ge dari Anthropic, dengan keterangan dibantu Claude, untuk sejumlah perbaikan tertentu. Kredit itu tidak mencakup seluruh 62 celah, dan Anthropic tidak memerinci mana saja yang dihitung.
Perbedaan angka semacam ini wajar dalam pelaporan keamanan, tetapi tetap penting dicatat pembaca.
Mengapa Rantai Serangan Lebih Berbahaya daripada Satu Bug
Satu celah memori biasanya hanya membuka jalan terbatas. Perangkat modern dirancang berlapis: ada sandbox, pengacakan alamat memori, dan pemisahan proses. Satu bug jarang cukup untuk menembus semuanya.
Rantai serangan mengubah keterbatasan itu. Setiap kelemahan dipakai untuk membuka jalan bagi kelemahan berikutnya, sampai batas terakhir jebol. Inilah yang membuat kemampuan merangkai dinilai lebih berbahaya daripada kemampuan menemukan.
Anthropic menyebut beberapa kelemahan dalam rantai Safari bahkan bukan celah dalam pengertian biasa. Itu perilaku yang dirancang memang begitu, tetapi menjadi bisa dieksploitasi ketika digabungkan dengan kelemahan lain.
Karena itu, laporan ini lebih tepat dibaca sebagai peringatan tentang arah kemampuan model, bukan sekadar daftar bug. Model frontier kini bisa melakukan pekerjaan yang dulu menuntut spesialisasi bertahun-tahun (Cybernews).
Android, Windows, dan Linux: Tiga Sasaran Lain
Pada Android, model menemukan cara menyalin foto dan data lain dari ponsel yang terkunci. Rantai ini memerlukan akses fisik lewat kabel USB, dan Anthropic menyebut pengujian dilakukan pada perangkat Pixel 9. Google menyatakan celah sudah ditangani.
Pada Windows, kelemahannya adalah pembacaan di luar batas pada penanganan QUIC di kernel. Beberapa paket data bisa membuat server yang melayani HTTP/3 berhenti, dan pengiriman ulang membuatnya tetap mati. Celah ini tercatat sebagai CVE-2026-33096 dan ditambal April 2026.
Pada Linux, dampaknya paling serius: eksekusi perintah sebagai root lewat jaringan tanpa login dan tanpa interaksi pengguna. Syaratnya server menjalankan listener multipath TCP. Model butuh 48 menit untuk membocorkan alamat memori kernel dan lima menit lagi untuk mendapat shell root.
Celah Linux itu tercatat sebagai CVE-2026-98432 dengan skor 9,8 dan ditambal 15 Oktober 2026. Catatan publiknya menggambarkan perbaikan pada TCP IPv4, sementara Anthropic menghubungkannya dengan multipath TCP. Keterkaitan keduanya hanya dijelaskan dalam tulisan Anthropic (The Hacker News).
