Gelombang CVE Menyerang Platform Agent dan RAG Open-Source

Empat celah keamanan berdampak tinggi pada tooling agent dan RAG open-source populer diterbitkan di National Vulnerability Database Amerika Serikat pada 30 Oktober. CVE-2026-119337 di RAGFlow membuat API chat completions bisa melewati pemeriksaan akses pada agent privat, sementara CVE-2026-119408 di n8n membuka remote code execution melalui node Function dan LangChain Code yang sudah deprecated. Flowise mengidap CVE-2026-119978, sebuah sandbox escape yang berujung pada eksekusi perintah sistem operasi.

Kasus paling berat menyeret TAKO AI Agent for Okta: CVE-2026-63377, berlabel critical dengan CVSS 9.8, membuka endpoint setup pertama tanpa autentikasi, dan celah pendampingnya memungkinkan eksekusi Python sebagai root lewat validator yang gagal memblokir rantai getattr. Data agregasi mingguan mencatat 87 CVE terkait agent pada pekan ke-44 saja, dan sekitar 616 dalam dua belas bulan terakhir, naik dari 92 pada tahun sebelumnya. Kira-kira sepertiga di antaranya membuka jalur akses data. Pola yang terus berulang, catat para analis, adalah cek kepemilikan tenant yang terlewat dan validator kode buatan sendiri yang dianggap sandbox.