Tailscale, penyedia jaringan private berbasis WireGuard yang populer di kalangan pengembang dan perusahaan teknologi, merilis pembaruan keamanan mendesak pada versi 1.98.9. Pembaruan ini menutupi lima kerentanan yang diberi kode TS-2026-005 hingga TS-2026-009, dengan dua di antaranya memungkinkan eskalasi hak istimewa hingga tingkat root pada server Linux.
Dua kerentanan paling kritis berada pada fitur Tailscale SSH. Yang pertama, TS-2026-009, memanfaatkan penanganan argumen baris perintah yang tidak aman. Ketika pengguna mencoba koneksi SSH dengan username yang diawali tanda hubung, seperti "-i", sistem meneruskannya ke utilitas getent pada Linux. Karena tanda hubung diinterpretasikan sebagai flag, perintah getent mencetak seluruh file passwd dimulai dari pengguna root, sehingga Tailscale membuka sesi interaktif sebagai root — mengabaikan kebijakan ACL yang seharusnya membatasi akses.
Kerentanan kedua pada SSH, TS-2026-006, memungkinkan penyerang menggunakan UID numerik "0" sebagai username. Meski kebijakan ACL memblokir username "root", sistem tidak memvalidasi representasi numerik UID 0. Akibatnya, pengguna dengan akses non-root bisa masuk sebagai root hanya dengan mengetik "0@host" saat koneksi SSH.
Kedua celah SSH ini hanya mempengaruhi host Linux yang mengandalkan pembatasan autogroup:nonroot dalam ACL Tailscale. Menurut laporan keamanan resmi, kerentanan TS-2026-009 dilaporkan oleh Anthropic dan Ada Logics, sedangkan TS-2026-006 ditemukan oleh Tim Hoffman. Keduanya sudah ditutup pada versi 1.98.9 dengan menolak username yang diawali tanda hubung serta melarang penggunaan UID numerik atau username hanya berisi angka.
Di sisi lain, Tailscale Serve dan Funnel — fitur proxy HTTP untuk mengekspos layanan lokal ke tailnet atau internet — memiliki kerentanan denial-of-service, TS-2026-008. Permintaan HTTP dengan path yang tidak diawali garis miring ("/") menyebabkan loop tak terbatas saat sistem mencari handler yang cocok. Tanpa batas waktu permintaan, satu inti CPU akan terjebak 100% selamanya. Celah ini bisa dieksploitasi oleh peer manapun di tailnet untuk Serve, atau oleh siapapun dari internet untuk Funnel.
Kerentanan keempat, TS-2026-007, terkait Tailscale Services. Node yang mengiklankan layanan menerima lalu lintas masuk pada port yang tidak diiklankan, lalu meneruskannya ke proses yang mendengarkan pada loopback interface port yang sama. Hal ini memungkinkan akses jarak jauh ke layanan yang seharusnya hanya bisa diakses lokal. Celah kelima, TS-2026-005, memungkinkan operator non-root mengonfigurasi proxy Unix socket ke socket berhak istimewa seperti docker.sock, melewati pembatasan sistem berkas.
Bagi ekosistem teknologi Indonesia, pembaruan ini sangat urgente. Ribuan startup, perusahaan fintech, dan tim DevOps di Indonesia menggunakan Tailscale untuk mengelola akses server produksi, database, dan infrastruktur cloud tanpa perlu VPN tradisional. Fitur SSH Tailscale menjadi andalan karena kemudahan manajemen kunci dan integrasi ACL berbasis identitas. Jika server Linux terpapar dan belum dipatch, penyerang yang sudah memiliki akses SSH tingkat rendah — misalnya akun developer yang dikompromikan — bisa dengan mudah naik ke root.
Kendati demikian, vektor serangan membutuhkan akses awal ke tailnet atau akun SSH yang valid. Ini bukan kerentanan remote code execution tanpa autentikasi. Namun, praktik keamanan modern mengasumsikan breach akan terjadi, sehingga defense-in-depth seperti pembatasan root via ACL menjadi lapisan krusial. Kebocoran lapisan ini mengingatkan pentingnya patch management yang cepat.
Tim keamanan Tailscale menegaskan bahwa semua kerentanan sudah diperbaiki di versi 1.98.9. Pengguna diminta segera memperbarui binary tailscaled di semua node, terutama yang menjalankan SSH, Serve, Funnel, atau Services. Proses pembaruan standar melalui manajer paket sistem operasi atau skrip instalasi resmi Tailscale cukup untuk menerapkan perbaikan. Tidak ada perubahan konfigurasi tambahan yang diperlukan.
Ke depan, insiden ini menyoroti risiko kompleksitas pada perangkat lunak jaringan yang mengintegrasikan banyak lapisan identitas, transport, dan kontrol akses. Semakin banyak fitur ditambahkan — SSH, Serve, Funnel, Services — semakin luas permukaan serangan. Bagi organisasi Indonesia yang mengadopsi zero-trust networking, ini pengingat untuk rutin memantau security bulletin vendor dan mengotomatiskan patching kritis.