Satu perangkat yang berhasil diretas di dalam jaringan Tailscale dapat dimanfaatkan untuk memperoleh kendali tingkat root pada berbagai server lain yang berada dalam jangkauannya, menurut laporan seorang peneliti keamanan siber yang merilis temuannya pekan ini.
Aksi peretasan semacam ini menuntut terpenuhinya dua kondisi utama: fitur Tailscale SSH dikonfigurasi guna mengizinkan penerusan porta (port forwarding), dan peretas telah menguasai satu gawai yang secara sah diizinkan oleh aturan kontrol akses jaringan untuk menghubungi server sasaran.
Seluruh temuan mendalam tersebut dipublikasikan pada 25 Oktober dalam sebuah riset bertajuk Tailworm oleh Erica Windisch dari Cyberdione Labs. Dalam kajiannya, Windisch melakukan serangkaian pengujian terhadap Tailscale versi 1.104.2 serta headscale versi 0.29.5—yaitu perangkat lunak server mandiri (self-hosted) yang kerap dipakai sebagian pengelola jaringan sebagai alternatif pengganti infrastruktur komputasi awan milik perusahaan—selama tiga hari penuh di laboratorium pengujian.
Ulasan riset tersebut secara terperinci memaparkan serangkaian uji coba terhadap perangkat lunak terkait, bukan bentuk serangan nyata yang berlangsung pada sistem operasional jaringan sebenarnya. Hingga laporan tersebut diedarkan ke publik, pihak manajemen Tailscale sama sekali belum meluncurkan buletin keamanan resmi, belum menyematkan pengidentifikasi kerentanan CVE, serta belum menyediakan rilis pembaruan perangkat lunak untuk menambalnya.
Tailscale telah memberikan respons resmi mereka di ruang publik. Mike Shaver, yang menjabat sebagai Wakil Presiden Rekayasa (Vice President of Engineering) di perusahaan tersebut, menyatakan secara terbuka di forum Reddit bahwa tim internal Tailscale telah menerima berkas laporan riset itu, telah menelaah ranah keamanan yang sama bersama konsultan siber independen luar, dan berhasil mendeteksi anomali yang kini sedang dalam tahap penyelesaian. Shaver menegaskan bahwa pihaknya saat ini masih meneliti konfigurasi infrastruktur mana saja yang terdampak secara nyata, sembari menambahkan bahwa perusahaan "tidak merekomendasikan agar semua pengguna serta-merta menonaktifkan Tailscale SSH."
Secara mendasar, Tailscale SSH beroperasi dengan mekanisme yang amat berbeda bila dibandingkan dengan server SSH konvensional. Alih-alih melakukan verifikasi kredensial berupa kata sandi maupun kunci kriptografi milik individu pemohon, sistem justru memvalidasi identitas perangkat keras tersebut, lalu sebuah aturan otorisasi tunggal akan memutuskan apakah gawai itu berhak membuka sesi interaksi SSH ke server tujuan.
Konsekuensi dari model autentikasi tersebut adalah serangan siber ini sama sekali tidak menuntut adanya kredensial akun atau berkas kunci enkripsi yang dicuri sebelumnya. Penyerang murni hanya membutuhkan pijakan awal (foothold) pada satu perangkat terdaftar, yang menurut isi riset dapat diperoleh melalui berbagai celah konvensional: kerentanan pada program aplikasi web, paket perangkat lunak pihak ketiga yang disusupi malware berbahaya, tipuan phishing, ataupun penggunaan kredensial curian. Perangkat lunak Tailscale sendiri bukanlah dalang yang membentuk titik masuk permulaan tersebut.
Sejauh mana administrator sistem mampu menangkal skenario eksploitasi ini sangat bergantung pada arsitektur tempat infrastruktur jaringan tersebut dioperasikan. Pada layanan terkelola Tailscale, kapabilitas penerusan lalu lintas (forwarding) dapat dinonaktifkan secara manual di setiap klausul aturan. Sebaliknya, pada headscale rilis 0.29.5, fitur forwarding sama sekali tidak memiliki opsi pembatasan untuk dimatikan. Oleh sebab itu, laporan memperingatkan bahwa setiap pemberian hak koneksi SSH di sistem tersebut pada dasarnya harus dianggap setara dengan menyerahkan hak istimewa root penuh pada server target.
Melalui simulasi terukur di laboratorium, Windisch mendemonstrasikan eskalasi masalah ini lewat beberapa tingkatan bertahap. Mengandalkan metode penerusan porta SSH standar, sebuah sesi komunikasi biasa sanggup memicu proses Tailscale berizin root untuk memanggil socket sistem internal yang semestinya terisolasi ketat hanya bagi root, sehingga pengujian tersebut sukses meraih kendali root dan mengekstrak berkas kata sandi sistem hampir seketika tanpa memerlukan hak administrator.
Metode eksploitasi kedua melibatkan penggantian paksa socket milik root menggunakan socket kendali milik penyerang, yang membuka jalan bagi eksekusi perintah sistem berprivilese root secara langsung terhadap sejumlah modul layanan internal tertentu.
Metode ketiga berhasil melumpuhkan mekanisme perlindungan integritas berkas yang dirancang untuk membatasi ruang lingkup penerusan, yaitu dengan cara memicu kondisi perebutan proses sistem (race condition) tepat di antara fase verifikasi jalur berkas dan saat berkas tersebut digunakan. Rangkaian serangan ini melangkah jauh lebih dalam pada uji lab, sebagaimana diungkap dalam riset: penyerang sukses merampas kunci digital pendaftaran perangkat baru lalu menyalahgunakannya guna mendaftarkan mesin penyerang sendiri ke dalam jangkauan jaringan sebagai entitas server tepercaya.
Tahapan akhir penerobosan tersebut hanya mampu dieksekusi secara mulus dari awal hingga akhir pada klaster jaringan yang tidak mengaktifkan fitur perlindungan Tailnet Lock. Bagi jaringan yang menerapkan penguncian tersebut, seluruh data rahasia penting tetap dapat disadap selama transmisi jaringan berlangsung, kendati tahapan paling ujung dari serangan itu gagal dituntaskan.
Windisch mengategorikan keseluruhan dampak eksploitasi ini memiliki sifat yang "wormable" (dapat menyebar sendiri layaknya worm). Pada kondisi laboratorium, satu gawai yang terinfeksi sanggup mereplikasi infeksi secara otomatis ke setiap server yang diizinkan oleh aturan koneksi, tanpa butuh kata sandi, tanpa kunci curian, dan tanpa intervensi pengguna, dengan laju infeksi kurang dari satu detik untuk setiap gawai sasaran.
Mengutip langsung pernyataan resmi di dalam dokumen riset, "jaringan mesh mengubah satu pijakan awal biasa menjadi akses istimewa di seluruh armada server pada kecepatan mesin." Dinamika penyebaran beruntun tersebut diukur secara ketat di laboratorium tertutup, bukan peristiwa yang tercatat pada ekosistem jaringan komersial nyata.
Riset tersebut mencatat dua elemen teknis pertahanan utama yang mampu meredam laju infeksi: perumusan aturan otorisasi berbasis pasangan tunggal sumber-ke-tujuan yang secara otomatis menyetop ekspansi serangan, serta pemanfaatan kunci kriptografi perangkat yang terikat langsung pada modul perangkat keras seperti TPM atau Secure Enclave.
Sebagian pakar keamanan siber yang menelaah temuan ini secara terbuka melontarkan keraguan atas pelabelan sifat "wormable" tersebut, sedangkan analis lain sepakat menggarisbawahi bahwa temuan ekskalasi hak istimewa root ini merupakan masalah sistemik yang teramat gawat.
Celah SSH ini merupakan satu dari 11 temuan penting yang diungkap dalam dokumen riset komprehensif, yang turut membongkar celah pada fitur app connector, kapabilitas share Tailscale serve, protokol relay DERP penghubung antar-perangkat, serta perangkat lunak headscale. Windisch menjelaskan kepada The Hacker News bahwa lonjakan privilese SSH "cukup mencemaskan," namun kelemahan pada app connector "bisa berdampak jauh lebih masif bagi sejumlah korporasi besar." Kerentanan app connector pada fitur eksperimental bernama conn25 tersebut memungkinkan pengguna resmi menyalurkan aliran data ke rute yang tidak pernah disetujui tim keamanan, termasuk membidik layanan metadata komputasi awan yang dapat membocorkan kredensial rahasia server.
Seluruh kesimpulan teknis ini bertumpu secara tunggal pada laporan riset milik Windisch. Belum ada pakar keamanan independen lain yang secara publik berhasil mereplikasi temuan tersebut, dan Tailscale sendiri belum memberikan konfirmasi terhadap rincian teknis yang dipaparkan. Windisch menyatakan bahwa kode pembuktian konsep (proof-of-concept) di balik eksploitasi ini sengaja tidak disebar ke ranah publik, melainkan hanya diserahkan secara privat kepada kontak divisi keamanan Tailscale.
Windisch mengidentifikasi metode pembocoran informasi ini sebagai "dilaporkan namun tidak dikoordinasikan," sebuah pernyataan yang ia tuliskan langsung di forum Ycombinator Hacker News, di mana salah seorang pengguna di sana sempat melontarkan kritik keras dan menyebut bahwa mempublikasikan temuan tanpa koordinasi matang bersama Tailscale merupakan tindakan yang tidak bertanggung jawab.
Saat dikonfirmasi oleh The Hacker News, Windisch berdalih bahwa ia sebenarnya telah menyerahkan salinan dokumen laporan beserta kode pembuktian konsep kepada pihak pengembang sebelum mempostingnya ke publik, dengan mengirimkan berkas tersebut ke narahubung keamanan Tailscale pada hari Sabtu sebelumnya. Ia menambahkan telah mengutarakan kekhawatirannya seputar kelemahan arsitektur perangkat lunak Tailscale kepada chief executive perusahaan sejak jauh hari, serta membagikan hash berkas dan mengimbau khalayak luas untuk segera menonaktifkan fitur Tailscale SSH.
Riset ini merupakan rentetan teranyar dari rangkaian kendala serupa yang menerpa komponen Tailscale. Pada awal tahun 2026, perusahaan sempat membenahi sejumlah kerentanan penanganan socket server dan sistem SSH Tailscale, termasuk sebuah celah di mana penerusan socket Unix SSH dapat menjangkau socket istimewa berprivilese tinggi, yang akhirnya ditambal pada rilis versi 1.98.9.
Mengingat ketiadaan patch resmi hingga sekarang, langkah mitigasi darurat yang tersedia saat ini berpusat pada penyesuaian tata kelola Tailscale SSH dan komponen pendukungnya. Isi laporan dan instruksi pencegahan dari Tailscale pada dasarnya menyepakati langkah yang serupa pada sebagian besar aspek.
Tailscale turut merekomendasikan pengaktifan mode verifikasi SSH (check mode), yang mewajibkan otentikasi login tambahan sebelum sesi SSH dibuka, serta mengaktifkan pembaruan otomatis. Kendati demikian, penerapan mode verifikasi tidak memusnahkan kelemahan eskalasi hak istimewa tersebut, melainkan hanya menyodorkan satu rintangan pertahanan ekstra di depannya.
About the Author
