JetBrains merilis pembaruan keamanan pada 30 Oktober 2026 untuk hampir seluruh IDE dan alat pendukungnya. Pemicunya, kunci privat delapan sertifikat intermediate milik eMudhra dilaporkan telah dikompromikan. Siapa pun yang memegang kunci itu bisa membuat sertifikat TLS palsu untuk domain apa pun, lalu menyadap atau mengubah lalu lintas komputer pengembang yang berada di jaringan yang sama atau jalur yang sama.
Dua celah, dua komponen yang tertipu
CVE-2026-118697 bernilai CVSS 9,0 dan menyangkut jetbrainsd, layanan latar belakang yang ikut terpasang bersama produk JetBrains. Layanan ini mempercayai kunci yang sudah bocor. CVE-2026-118696 bernilai CVSS 8,0 dan menyangkut browser tertanam JCEF, yang masih menerima sertifikat yang sudah dicabut.
Produk terdampak mencakup IntelliJ IDEA, PyCharm, WebStorm, PhpStorm, CLion, Rider, GoLand, RubyMine, DataGrip, RustRover, DataSpell, ReSharper, Gateway, dan Toolbox App. IDE yang lebih lama dari 2026.3, 2026.2.4, 2026.1.5.1, dan 2025.3.6.2 termasuk rentan, begitu pula Toolbox App sebelum 3.9.1 dan 3.8.2. Pemilik rilis 2025.1 ke bawah tidak akan mendapat tambalan sama sekali, jadi mereka harus pindah ke versi yang masih didukung.
Pembaruan sistem operasi tidak cukup. Alasannya, IDE memakai daftar sertifikat tepercaya dari JetBrains Runtime (JBR) yang dibundel sendiri. Karena itu, JetBrains juga mencabut kepercayaan JBR terhadap empat sertifikat akar, yaitu emSign ECC Root CA G3, emSign Root CA G1, emSign Root CA G2, dan AAA Certificate Services. JetBrains belum mengetahui adanya eksploitasi, dan peneliti belum menerbitkan proof-of-concept publik.
Langkah yang perlu Anda ambil
Perbarui IDE ke versi yang sudah diperbaiki, misalnya IntelliJ IDEA 2026.2.4, dan perbarui Toolbox App ke 3.9.1 atau 3.8.2. Toolbox App yang baru ikut memperbarui jetbrainsd ke versi 0.9.9728 untuk semua IDE yang terpasang. Bila Toolbox tidak dipakai, perbarui jetbrainsd secara manual. Jika pembaruan belum bisa dilakukan, JetBrains menyarankan untuk menonaktifkan JCEF di pengaturan IDE sementara waktu.
Tim yang memakai JDK proyek sendiri atau alat eksternal seperti Node.js dan Python perlu memeriksa apakah penyimpanan sertifikatnya masih mempercayai akar eMudhra yang sudah dicabut. Hindari juga bekerja lewat Wi-Fi umum selama IDE belum diperbarui, karena penyadapan memerlukan posisi penyerang di jalur jaringan.
Bagi pengembang di Indonesia yang memakai PhpStorm, PyCharm, atau WebStorm untuk pekerjaan harian, risikonya terletak pada unduhan plugin, pembaruan, dan layanan lain yang diakses IDE dari mesin kerja. Pembaruan ini memakan beberapa menit dan sebaiknya dipasang hari ini. Daftar lengkap versi perbaikan per produk tersedia di portal keamanan JetBrains.
Sumber: JetBrains Blog dan SecurityOnline. Gambar: SecurityOnline.