Peneliti Erica Windisch dari Cyberdione Labs menerbitkan laporan bernama Tailworm pada 25 Oktober 2026. Isinya 11 temuan di klien Tailscale versi 1.104.2 dan server alternatif sumber terbuka headscale versi 0.29.5. Windisch tidak menunggu pengungkapan terkoordinasi, sehingga sampai berita ini ditulis belum ada nomor CVE dan belum ada versi perbaikan.
Apa yang dilaporkan
Temuan tersebar di lima komponen: Tailscale SSH, app connector (fitur eksperimental), headscale, klien DERP, dan tailscale serve. Menurut BleepingComputer, dampaknya mencakup eksekusi kode sebagai root, pencurian kredensial, denial of service, dan eskalasi hak akses. Temuan yang paling serius ada di Tailscale SSH, dan Tailscale sendiri menyebut masalah di sana sebagai hal yang serius.
Windisch menguji rilis tanpa modifikasi pada 22 sampai 24 Oktober. Ia menyebut sudah mengirim laporan dan bukti konsep ke kontak keamanan Tailscale sebelum menerbitkannya. Tailscale mengaku sudah menerima laporan itu dan sedang menelaah area yang sama bersama pakar luar. Wakil presiden teknik Tailscale, Mike Shaver, menanggapi di Reddit tanpa membenarkan satu per satu kesebelas temuan, menurut Startup Fortune.
Penting dicatat: celah ini bukan serangan jarak jauh dari internet. Penyerang butuh pijakan lebih dulu, misalnya perangkat yang sudah disetujui di tailnet dengan aturan SSH yang mengizinkan penerusan port. Dari situ, satu laptop yang dibobol atau satu kredensial yang bocor bisa melebar menjadi insiden yang lebih besar. Windisch menilai tingkat keparahannya tinggi. Sebagian peneliti lain menyebut publikasi tanpa patch ceroboh, sementara yang lain menilainya wajar karena respons vendor dinilai kurang memadai.
Status perbaikan Tailscale
Tailscale menerbitkan pembaruan investigasi pada 26 Oktober dan menyatakan sebagian besar perbaikan sedang diuji. Perusahaan menargetkan klien yang sudah ditambal selesai pada Selasa, 27 Oktober, lalu akan merilis advisori berisi versi terdampak. Nomor versi perbaikan belum diumumkan. Untuk headscale, belum ada pernyataan perbaikan dalam sumber yang kami baca.
Langkah yang perlu Anda ambil
Tailscale menyarankan tiga hal. Pertama, tinjau kebijakan akses SSH dan batasi hanya untuk pengguna dan perangkat yang memang membutuhkannya. Kedua, matikan penerusan SSH jika tidak dipakai dengan mengatur variabel lingkungan TS_SSH_DISABLE_FORWARDING=1 pada layanan tailscaled, lalu mulai ulang layanan itu. Ketiga, pasang klien yang sudah ditambal begitu tersedia. Tailscale tidak menyarankan mematikan Tailscale SSH sepenuhnya.
Windisch mengambil sikap lebih keras: ia menyarankan menonaktifkan Tailscale SSH dan app connector bila Anda belum bisa memeriksa siapa saja yang memegang izin penerusan di tailnet. Tim yang memakai headscale sebaiknya memantau repositori proyeknya dan mengaudit akses ke server. Periksa juga perangkat mana saja yang sudah terdaftar di tailnet dan cabut yang tidak dikenal.
Bagi startup dan tim kecil di Indonesia yang memakai Tailscale SSH untuk masuk ke server pengembangan atau produksi, risiko praktisnya ada di akun dan laptop anggota tim. Rapikan aturan akses sekarang, lalu perbarui klien segera setelah Tailscale merilis perbaikan.
Sumber: BleepingComputer, pwn.watch, dan Startup Fortune. Gambar: BleepingComputer.