HashiCorp menerbitkan advisori keamanan HCSEC-2026-50 pada 26 Oktober 2026 untuk consul-k8s, komponen yang memasang dan mengelola Consul di klaster Kubernetes. Celah yang diberi nomor CVE-2026-110720 ini membuat aturan binding komponen tidak membatasi autentikasi secara konsisten pada ServiceAccount di namespace tempat Consul dipasang. Akibatnya, penyerang bisa tampil sebagai komponen Consul dan mewarisi hak aksesnya.
Siapa yang terdampak
Versi terdampak adalah consul-k8s 0.42.0 sampai 2.0.4. HashiCorp merilis perbaikan di versi 1.8.18 dan 2.1.0. Celah ini hanya berlaku pada deployment yang mengaktifkan global.acls.manageSystemACLs=true. Deployment dengan manajemen ACL sistem dimatikan tidak rentan.
Penyerang juga harus memenuhi dua syarat. Pertama, ia punya izin Kubernetes untuk membuat ServiceAccount dan mengambil tokennya di namespace lain. Kedua, ia bisa menjangkau API Consul lewat jaringan. Dengan kata lain, ini bukan celah yang bisa dipicu orang asing dari internet. Risikonya ada pada klaster yang dipakai bersama banyak tim, tempat pengguna di satu namespace punya hak membuat akun layanan.
Advisori HashiCorp menyebut penyerang mungkin memperoleh hak istimewa Consul yang lebih tinggi. Peran dan izin persisnya tidak dirinci. Skor CVSS tidak dicantumkan, dan Cyber Press mencatat bahwa buletin itu tidak memberi peringkat kritis secara eksplisit, meski judul beritanya terkesan demikian. Belum ada laporan eksploitasi di lapangan, kode bukti konsep, ataupun indikator kompromi. Celah ini dilaporkan oleh Elias Hasas.
Langkah yang perlu diambil
HashiCorp menyarankan pelanggan menilai risikonya, lalu meningkatkan consul-k8s ke 2.1.0 atau 1.8.18. Advisori tidak menyebut solusi sementara lain, jadi pembaruan versi menjadi satu-satunya mitigasi resmi.
Admin sebaiknya memulai dengan memeriksa nilai global.acls.manageSystemACLs pada konfigurasi Helm mereka. Bila nilainya false, deployment itu tidak terdampak. Bila true, cek versi consul-k8s yang berjalan, lalu telusuri siapa saja yang boleh membuat ServiceAccount dan mengambil token di luar namespace Consul, serta siapa yang bisa mengakses API Consul dari jaringan. Cyber Press mengingatkan bahwa pemisahan namespace saja tidak menjamin akses peran Consul yang tidak semestinya tertutup.
Bagi tim infrastruktur di Indonesia yang menjalankan service mesh Consul di Kubernetes bersama, pekerjaan praktisnya sederhana: cek konfigurasi ACL, jadwalkan pembaruan ke 2.1.0 atau 1.8.18, dan tinjau ulang hak pembuatan ServiceAccount antar-namespace.
Sumber: HashiCorp HCSEC-2026-50 dan Cyber Press. Gambar: Cyber Press.