Advisory CISA: Kerentanan Injeksi Perintah OS di ZoneMinder (CVE-2026-76060)

CISA merilis advisori keamanan siber pada 25 Agustus 2026, yang merinci kerentanan tingkat keparahan tinggi (CVE-2026-76060) pada ZoneMinder, perangkat lunak pengawasan video sumber terbuka. Kerentanan ini adalah injeksi perintah OS terautentikasi pada fungsionalitas ekspor acara, di mana parameter HTTP 'exportFile' diteruskan tanpa sanitasi ke dalam perintah shell yang dieksekusi melalui exec() PHP. Pengguna terautentikasi dengan izin 'Lihat Acara' dapat mengeksekusi perintah sistem operasi arbitrer di server, yang berpotensi menyebabkan eksekusi kode jarak jauh penuh sebagai pengguna server web. Versi yang terpengaruh adalah ZoneMinder 1.37.48 dan 1.38.3. Skor dasar CVSS adalah 8.8 (Tinggi) di bawah CVSS v3.1 dan 8.7 di bawah v4.0. CISA menemukan bukti konsep publik yang dibuat oleh 'Scriptkittens' dan melaporkannya ke ZoneMinder. Vendor merekomendasikan peningkatan ke versi 1.38.3 atau lebih baru. Belum ada eksploitasi publik yang diketahui dilaporkan ke CISA saat ini. CISA menyarankan pengguna untuk meminimalkan paparan jaringan, menggunakan firewall, dan menerapkan tambalan vendor.