Tim Umbraco menerbitkan advisori keamanan pada 27 Oktober 2026 yang mencakup 10 celah di Umbraco CMS, Umbraco Forms, dan paket Umbraco AI. Menurut advisori itu, dua celah berkeparahan tinggi, tujuh sedang, dan satu rendah. Tambalan sudah tersedia, dan nomor CVE belum dicantumkan, jadi advisori memakai ID GHSA. Umbraco juga menegaskan masalah ini tidak berkaitan dengan celah PHP yang baru ramai, karena platformnya berjalan di atas .NET. Soal celah PHP itu, kami sudah membahasnya di laporan CISA tentang PHP2Shell.
Dua celah berkeparahan tinggi
Di CMS, GHSA-rpv9-qp4c-g469 (CVSS 8,8) memungkinkan pengambilalihan akun back-office lewat manipulasi pengalihan saat masuk. Versi terdampak adalah 17.x sampai 17.7.1 dan 18.x sampai 18.2.1. Perbaikannya ada di 17.7.2 dan 18.2.2.
Di Forms, GHSA-6mm6-h9v6-mjmp (CVSS 8,8) memungkinkan pengaturan alur kerja formulir menulis dan merender tampilan Razor di server, sehingga kode bisa dieksekusi dari jarak jauh. Versi terdampak adalah 13.0.0 sampai 13.9.11, 17.0.0 sampai 17.6.1, dan 18.0.0 sampai 18.2.1. Perbaikannya ada di 13.9.12, 17.6.2, dan 18.2.2.
Tujuh celah sedang dan satu rendah mencakup XSS tersimpan di pengelolaan media, cookie back-office yang tidak batal saat keluar, konten belum terbit yang terbuka lewat pratinjau dan Delivery API, serta pembatasan start node yang tidak ditegakkan. Satu celah Forms menyangkut data entri yang bisa dibaca tanpa izin yang sesuai. Satu lagi ada di paket AI: pemeriksaan otorisasi pada alat agen hilang, dan kredensial penyedia AI tertulis tanpa enkripsi di berkas Deploy. Perbaikannya ada di Umbraco.AI.Core 17.6.1 dan 18.6.1, dengan versi susulan untuk paket Agent, Deploy, dan Search.
Versi lama tidak ditambal
Umbraco 14, 15, dan 16 sudah akhir masa dukungan dan tidak akan menerima tambalan CMS maupun Forms. Umbraco menyarankan pengguna pindah ke versi 17 (LTS) atau 18. Pengguna Umbraco Cloud mendapat peningkatan otomatis untuk CMS dan Forms pada hari yang sama, tetapi paket AI harus diperbarui manual.
Langkah yang perlu Anda ambil
Perbarui CMS ke 17.7.2 atau 18.2.2, Forms ke versi perbaikan sesuai jalur Anda, dan paket AI ke versi terbaru. Bila belum bisa meningkatkan versi, Umbraco menyebut mitigasi sementara. Untuk celah masuk, batasi nama host yang diterima lewat AllowedHosts atau pengikatan di web server, dan jangan membuka tautan back-office dari sumber tak tepercaya saat sedang masuk. Untuk Forms, berikan akses bagian Forms hanya kepada orang yang boleh melihat semua entri.
Beberapa celah, termasuk eksekusi kode di Forms, tidak punya solusi sementara, dan Umbraco menyebut peningkatan versi sebagai satu-satunya perbaikan lengkap. Bila berkas Deploy berisi kredensial AI pernah masuk ke kendali versi, putar ulang kunci itu setelah meningkatkan versi. Pengelola situs berbasis Umbraco di Indonesia sebaiknya memeriksa versi yang berjalan hari ini.
Sumber: advisori keamanan Umbraco dan pengumuman jadwal tambalan. Gambar: Umbraco.