Pengelola Apache OFBiz, kerangka kerja sumber terbuka untuk sistem ERP dan e-commerce, mengumumkan perbaikan atas 46 celah keamanan lewat milis oss-security pada 4 November 2026. Pengumuman itu ditulis Jacopo Cappellato dan menyebut semua versi sebelum 24.09.08 terdampak. Perbaikannya ada di Apache OFBiz 24.09.08.
Celah yang paling berbahaya
Dua celah di antaranya memungkinkan penyerang menjalankan kode dari jauh tanpa perlu login. CVE-2026-68524 dijelaskan sebagai eksekusi kode jarak jauh pra-autentikasi lewat pemuatan definisi layar yang dikendalikan penyerang. CVE-2026-83542 berupa eksekusi kode tanpa login lewat injeksi widget di halaman login, dan SecurityOnline mencatat skor CVSS 9,8 untuk celah ini.
Celah ketiga, CVE-2026-109928, menyangkut implementasi algoritme autentikasi yang salah pada fitur reset kata sandi. Menurut pengumuman, kesalahan itu membuka jalan bagi pengambilalihan akun secara penuh. SecurityOnline juga menyebut CVE-2026-73578, celah otorisasi pada fitur saved view yang berdampak eksekusi kode, tetapi nomor itu belum tertera di pengumuman yang saya baca.
Sampai tulisan ini dibuat, laporan yang saya baca belum menyebut adanya eksploitasi di dunia nyata maupun kode uji publik untuk gelombang celah ini. Namun OFBiz bukan sasaran baru. Katalog celah yang dieksploitasi milik CISA sudah memuat tiga celah OFBiz lama, yaitu CVE-2024-32113, CVE-2024-38856, dan CVE-2024-45195. Penyerang jelas memperhatikan perangkat lunak ini.
Langkah yang perlu diambil administrator
Rekomendasi resmi hanya satu: naik ke Apache OFBiz 24.09.08. Pengumuman tidak menyediakan mitigasi sementara, jadi menunda pembaruan berarti membiarkan celah tanpa login tetap terbuka. Perusahaan yang memakai OFBiz untuk pesanan, inventaris, atau toko daring sebaiknya menjadwalkan pembaruan ini di luar siklus rutin.
Sambil menunggu jadwal, SecurityOnline menyarankan menjauhkan antarmuka admin dan webtools dari internet publik, misalnya dengan VPN atau daftar IP yang diizinkan. Langkah ini membatasi permukaan serangan, tetapi bukan pengganti patch. Periksa juga log akses dan akun admin untuk aktivitas yang tidak dikenal, terutama pada permintaan reset kata sandi.
Mengapa ini perlu diperhatikan
Sistem ERP biasanya menyimpan data pelanggan, pesanan, dan keuangan, sehingga satu server yang dibobol berdampak luas. Pola ini mirip dengan pekan ini di kerangka kerja lain: Rails juga baru menambal celah kritis Active Storage. Bagi tim di Indonesia yang menjalankan OFBiz sendiri, cek versi yang terpasang hari ini. Bila masih di bawah 24.09.08, perbarui, lalu tutup akses admin dari luar jaringan kantor.
Sumber: pengumuman Apache OFBiz di oss-security, SecurityOnline, dan The Hacker News. Gambar: SecurityOnline.