Proyek Wasmtime, runtime WebAssembly dari Bytecode Alliance, menerbitkan dua advisory kritis pada 19 Oktober 2026. Keduanya berskor CVSS v3.1 9,9 dan berada di Cranelift, compiler bawaan Wasmtime. Modul WebAssembly yang dirakit penyerang dapat keluar dari sandbox dan mengeksekusi kode di sisi host. The Hacker News mengangkat temuan ini pada 26 Oktober.
Dua celah, dua cara lolos
The Hacker News mencantumkan nomor CVE-2026-115889 dan CVE-2026-115893 untuk kedua celah. Halaman advisory GitHub yang kami periksa menulis “No known CVE”, jadi pembaca sebaiknya mencocokkan nomor itu dengan ID GHSA di sumber resmi.
Celah pertama, CVE-2026-115889, ada di semua arsitektur. Sebelum Wasmtime 43, Cranelift menyimpan indeks nilai internal dalam kolom 24 bit. Pada build rilis, angka yang kelewat besar meluap tanpa pesan error, sehingga compiler merujuk nilai yang salah dan menghasilkan kode mesin yang keliru. Fungsi WebAssembly yang sangat besar, atau sengaja dirancang untuk memakai banyak nilai, dapat memicu kondisi ini dan berujung pada type confusion. Versi terdampak adalah semua rilis sebelum 36.0.19 serta 37.0.0 sampai sebelum 43.0.0.
Celah kedua, CVE-2026-115893, hanya menyerang host ARM64 (aarch64). Instruksi br_table dengan lebih dari sekitar 256 ribu target membuat cabang kondisional menunjuk lokasi yang salah, dan eksekusi bisa melompat ke kode lain pada offset yang dikendalikan pengguna. Advisory menyebut semua versi dengan dukungan aarch64 sejak 2020 terdampak, yakni sebelum 36.0.19, 37.0.0 sampai sebelum 48.0.7, dan 49.0.0 sampai sebelum 49.0.4. Host ARM64 yang sudah memasang perbaikan bug sebelumnya pada April tetap rentan, menurut The Hacker News. Advisory mengkredit pelapor bernama jaydns untuk celah pertama dan ilyas-mallah untuk celah kedua.
Risiko terbesar ada pada layanan yang mengompilasi modul WebAssembly dari pihak luar, misalnya platform edge atau plugin. Kasus pelarian sandbox lain juga pernah kami bahas dalam laporan uji red team OpenAI. Advisory Wasmtime tidak menyebut adanya eksploitasi di lapangan.
Langkah yang perlu diambil
Perbarui ke Wasmtime 36.0.19, 48.0.7, 49.0.4, atau 50.0.0, sesuai lini rilis yang dipakai. Advisory tidak mencantumkan workaround. Pengguna Wasmtime sebagai pustaka perlu membangun ulang aplikasinya, karena memperbarui CLI tidak mengubah program yang sudah dikompilasi. Lini 24.x sudah berakhir dukungannya dan tidak mendapat perbaikan, jadi tim yang masih memakainya harus pindah lini. Alert Dependabot untuk celah ARM64 mungkin belum muncul, sehingga cek manual lewat cargo-audit (RUSTSEC-2026-0379 dan RUSTSEC-2026-0380) lebih aman.
Bagi pengembang Indonesia yang menjalankan kode WebAssembly milik pelanggan atau pihak ketiga, tinjau versi Wasmtime di semua layanan hari ini, terutama yang berjalan di server ARM64.
Sumber: The Hacker News, advisory GHSA-897f-g5gm-fmxm dan GHSA-mghf-wjfp-p5xm. Gambar: The Hacker News.