Peneliti keamanan Erica Windisch dari Cyberdione Labs mempublikasikan laporan bernama Tailworm pada 25 Oktober 2026. Laporan itu menguraikan sejumlah kelemahan di Tailscale SSH dan komponen di sekitarnya. Dalam pengujian lab, perangkat yang sudah dikuasai penyerang bisa naik menjadi root di server lain yang terhubung lewat Tailscale. Sampai berita ini ditulis, belum ada CVE dan belum ada versi perbaikan.
Apa yang ditemukan
Windisch menguji Tailscale 1.104.2 dan headscale 0.29.5 pada 22 sampai 24 Oktober. Untuk Tailscale SSH, penyerang lebih dulu harus menguasai satu perangkat yang diizinkan oleh kebijakan akses, dan aturan SSH di jaringan itu harus membolehkan port forwarding. Kata sandi atau hak administrator tidak diperlukan. Hasil di lab mencakup eskalasi ke root di server target, pencurian kunci pendaftaran perangkat, dan penghapusan file milik root. Laporan menyebut penyebaran otomatis antarperangkat di lingkungan uji, tetapi rantai pendaftaran perangkat tidak selesai di jaringan yang memakai Tailnet Lock.
Laporan yang sama menyebut masalah lain. App connector bisa dipakai untuk menjangkau layanan metadata cloud dan jaringan internal. Server headscale bisa masuk crash loop dan menghalangi pendaftaran perangkat baru, sedangkan agen klien bisa kehabisan memori jika diarahkan ke relay DERP berbahaya.
Beberapa hal perlu dicatat. Temuan ini berasal dari satu peneliti dan belum direproduksi secara independen. Kode proof-of-concept tidak dipublikasikan, dan sebagian peneliti mempertanyakan klaim bahwa serangannya bisa menyebar sendiri. Menurut The Hacker News, Tailscale mengaku sudah menerima laporan dan sedang memperbaikinya, tetapi masih memastikan konfigurasi mana yang terdampak. Saat halaman buletin keamanan Tailscale diperiksa, belum ada entri yang membahas laporan ini.
Langkah yang perlu diambil
Windisch dan Tailscale sama-sama belum menyediakan patch, jadi pertahanan bertumpu pada konfigurasi. Tulis aturan akses SSH sebagai pasangan sumber dan tujuan yang spesifik, dan hapus aturan lebar berbasis identitas atau tag. Matikan port forwarding SSH bila kebijakan memungkinkan. Di headscale 0.29.5 opsi itu tidak tersedia, jadi setiap grant SSH sebaiknya dianggap setara akses root.
Cabut izin app connector dari perangkat yang tidak membutuhkannya, dan batasi tujuan egress lewat firewall atau NetworkPolicy Kubernetes. Audit konfigurasi tailscale serve, terutama penerusan ke socket Unix, lalu aktifkan masa berlaku node key. Jika ada perangkat yang dicurigai disusupi, hapus dari control plane. Menginstal ulang perangkat saja tidak mencabut kunci yang mungkin sudah dicuri.
Dampak bagi tim yang memakai Tailscale
Tim kecil dan pengembang sering memakai Tailscale SSH untuk mengakses server tanpa mengelola kunci satu per satu. Risikonya muncul jika laptop atau server mana pun di jaringan itu jatuh ke tangan penyerang, karena aturan yang terlalu longgar memperluas kerusakan. Periksa kebijakan akses hari ini, dan pantau buletin keamanan Tailscale untuk rilis perbaikan.
Sumber: laporan Tailworm dan The Hacker News. Gambar: The Hacker News.