Apache Software Foundation menerbitkan CVE-2026-118636 pada 31 Oktober 2026. Celah ini ada di JavaNativeMessageDecoder pada Apache MINA 3.0, pustaka Java yang dipakai banyak aplikasi untuk membangun server jaringan. Skor CVSS 3.1 yang diberikan Apache sebagai pemberi nomor CVE adalah 9,8, tingkat kritis. Yang membuat kasus ini berbeda dari kebanyakan advisori: tim proyek menyatakan tidak berencana merilis perbaikan.
Apa yang terjadi dan siapa yang terdampak
Kelasnya adalah CWE-502, yaitu deserialisasi data yang tidak tepercaya. Dalam praktiknya, decoder tersebut memproses objek Java yang dikirim lewat jaringan tanpa menyaringnya lebih dulu. Vektor CVSS menunjukkan serangan lewat jaringan, kompleksitas rendah, tanpa login, dan tanpa interaksi pengguna. Dampaknya bisa berupa eksekusi kode jarak jauh pada aplikasi yang membuka layanan dengan decoder ini.
Paket yang tercantum adalah org.apache.mina:mina-core dengan rentang versi “>=3.0.0 <=3.0.0-M2”. Rentang itu janggal, karena 3.0.0 secara urutan lebih baru daripada 3.0.0-M2. Strix, salah satu pengamat yang membahasnya, menyarankan pembaca memeriksa advisori Apache untuk cakupan pastinya. Karena itu, anggap semua build MINA 3.0, termasuk versi milestone, berpotensi terdampak sampai ada klarifikasi.
Per 31 Oktober 2026, OffSeq tidak menemukan kode serangan publik, celah ini tidak ada di katalog KEV milik CISA, dan tidak ada lalu lintas serangan yang tercatat. Analisis NVD juga belum selesai. Catatan OffSeq sendiri mengingatkan bahwa ketiadaan bukti bukan tanda aman. Nama penemu belum tercantum di sumber yang saya baca.
Tanpa tambalan, mitigasi satu-satunya adalah pindah
Menurut ringkasan CVE yang dikutip OffSeq dan Strix, alasan Apache tidak menambal adalah cabang 3.0.0 sudah tidak aktif. Arahan resminya: ganti pustaka tersebut, atau isolasi dari jaringan yang tidak tepercaya sampai penggantian selesai. Apache merekomendasikan rilis terbaru cabang Apache MINA 2.2.x. Mekanisme penyaringan deserialisasi yang berlaku di sana tidak dijelaskan di sumber, jadi periksa catatan rilis cabang itu sebelum memigrasikan kode.
Pola ini mengingatkan pada celah di pustaka hilir yang tidak selalu punya jalur pembaruan sederhana, seperti yang terjadi pada crate Rust zip dengan skor CVSS 10,0. Bedanya, di kasus MINA tidak ada versi 3.0 yang diperbaiki sama sekali.
Langkah yang perlu Anda ambil
Pertama, cari tahu apakah proyek Anda memakai mina-core 3.0.x, termasuk lewat dependensi transitif. Untuk proyek Maven atau Gradle, tampilkan pohon dependensi dan telusuri artefak itu. Kedua, jika ketemu, jangan biarkan port layanan yang memakai decoder tersebut terbuka ke internet. Batasi dengan firewall atau segmentasi jaringan sampai migrasi tuntas. Ketiga, rencanakan perpindahan ke cabang 2.2.x dan uji ulang protokol yang Anda pakai sebelum rilis ke produksi. Keempat, tinjau apakah aplikasi memang memerlukan serialisasi objek Java native. Jika tidak, ganti dengan format data yang tidak menjalankan kode saat dibaca.
Bagi tim di Indonesia yang menjalankan layanan Java internal, kasus ini patut diperiksa hari ini, sebab menunggu tambalan resmi tidak akan membuahkan hasil.
Sumber: OffSeq Radar, Strix, dan catatan CVE. Gambar: OffSeq Radar.