Hai semuanya, apa kabar? Kali ini aku mau update lagi mengenai informasi keamanan Proxmox VE. Hari ini (30 Oktober 2026), tim Proxmox merilis lima buah update keamanan (security advisory) sekaligus. Namun update kali ini tidak menyentuh update kernel, sehingga tidak perlu melakukan reboot host. Ayo kita bahas satu per satu.

Network Config Bisa Disusupi Perintah (PSA-2026-00077-1)

Di Proxmox (dan sistem Linux) ada API/file untuk konfigurasi jaringan seperti /etc/network/interfaces. Beberapa field pada API tidak divalidasi dengan benar. Akibatnya, user/token yang memilki hak akses Sys.Modify pada node bisa saja memasukkan baris/perintah tambahan pada file konfigurasi jaringan. Hal ini dapat menjadi hal yang serius karena beberapa opsi pada file /etc/network/interfaces dapat menjalankan perintah sebagai root saat booting atau reload jaringan.
Analogi: kamu diizinkan mengisi formulir “alamat IP”, tapi formulir itu ternyata juga menulis skrip yang dijalankan sebagai root saat komputer menyala. Selama validasinya longgar, kamu bisa menulis apa pun di kolom itu.
Ditambal di: pve-manager >= 9.2.23.

Satu URL Bisa Bikin Root Menjalankan Perintah (PSA-2026-00079-1)

Celah keamanan yang ini masih berkaitan dengan root escalation namun “jalur”-nya berbeda. Di Proxmox ada komponen bernama termproxy yang bertugas untuk menangani koneksi console/terminal di web interface. Ada parameter yang dikirim ke termproxy tanpa shell quoting yang benar. Kalau attacker berhasil membujuk user yang sedang login sebagai root@pam untuk membuka URL yang sudah dirancang, parameter jahat itu bisa membuat perintah dijalankan sebagai *root.
Namun, serangan ini bukanlah serangan yang dapat terjadi secara remote tanpa interaksi (seperti infra yang ditemui attacker secara random), namun attacker perlu “korban” yang sudah memiliki/sudah login as root@pam di Proxmox dan melakukan klik pada link “jebakan” yang dibuat si attacker.
Ditambal di: pve-manager >= 9.2.24.

Link Jahat Bisa Kirim POST atas Nama Kita (PSA-2026-00075-1)

Kali ini celahnya berkaitan dengan xterm.js, merupakan library yang digunakan sistem Proxmox untuk menampilkan layar console di web interface. xterm.js tidak melakukan validasi parameter URL dengan benar. Sehingga, apabila attacker membujuk user (lagi-lagi, ada kaitannya dengan social engineering) untuk membuka link “jahat” yang sudah disiapkan oleh attacker, link itu bisa memicu POST request ke Proxmox atas nama user tersebut, hampir mirip dengan CSRF (Cross-Site Request Forgery). Efeknya tergantung user/korban yang kena. Kalau korbannya memiliki hak akses admin, maka bisa jadi request ilegal (oleh kode yang dibuat attacker) tersebut melakukan hal-hal yang seharusnya tidak diizinkan.
Ditambal di: pve-xtermjs >= 6.0.0-3.

XSS di Consent-Text (PSA-2026-00078-1)

Proxmox memiliki fitur seperti message of the day/MOTD banner yang dapat digunakan untuk menampilkan informasi/warning pada server. Ada celah pada fitur ini yang memungkinkan attacker yang memiliki privilege atau hak akses tinggi untuk dapat menambahkan perintah/kode tertentu ke web interface template. Serangan ini bisa dibilang sebagai XSS – Cross-Site Scripting. Efek dari celah ini bermacam-macam, mulai dari menampilkan konten palsu, sampai mencuri sesi user lain yang membuka halaman tersebut.
Ditambal di: pve-manager >= 9.2.24.

Pool ACL Tidak Dicek (PSA-2026-00076-1)

Ada hak akses Pool.Audit di Proxmox yang memberikan akses untuk melihat informasi dari sebuah pool. Celahnya adalah pengecekan privilege tidak berjalan saat melakukan query informasi pool. Akibatnya, user yang tidak punya akses Pool.Audit tetap bisa melihat informasi pool. Efeknya adalah information disclosure, bukan serangan eskalasi hak akses atau hal yang relatif “severe“, tapi tetap saja, bisa membantu attacker memetakan infrastruktur sebelum menyerang lebih jauh.
Ditambal di: pve-manager >= 9.2.23.

Mitigasi

Mitigasi yang dilakukan adalah… seperti biasa. Update & upgrade.

apt update
apt dist-upgrade

Pastikan versi paket sudah memenuhi syarat:

dpkg-query -W -f '${Version}\n' pve-manager pve-xtermjs

Kalau pve-manager sudah 9.2.24 atau lebih dan pve-xtermjs sudah 6.0.0-3 atau lebih, berarti aman.

Tulisan kali ini sampai di sini dulu ya. Sampai jumpa. Bye.

Referensi: https://forum.proxmox.com/threads/proxmox-virtual-environment-security-advisories.149331/page-5