Dua celah keamanan di KSMBD — server SMB bawaan kernel Linux — diberi skor 9.0 (kritis) oleh Zero Day Initiative (ZDI) milik Trend Micro. Yang membuat situasi ini tidak nyaman: laporan teknisnya dikirim ke milis publik Linux kernel (LKML), bukan ke milis keamanan privat, dan sampai sekarang belum ada perbaikan resmi di kernel utama. Artinya detail cara mengeksploitasi sudah bisa dibaca siapa saja, sementara patch belum tersedia. Bagi pengelola server di kantor dinas, sekolah, desa, atau UMKM yang memakai Linux sebagai file server atau NAS, ini saat yang tepat untuk memeriksa apakah layanan KSMBD aktif.

Apa itu KSMBD dan mengapa berisiko

KSMBD (kernel SMB server daemon) adalah modul di dalam kernel Linux yang membuat server bisa berbagi folder lewat protokol SMB — protokol yang sama dipakai Windows saat membuka shared folder. Karena berjalan di dalam kernel, bug di sini jauh lebih berbahaya daripada bug aplikasi biasa: penyerang yang berhasil menembus bisa menjalankan perintah dengan hak tertinggi (remote code execution) dan mengambil alih seluruh server.

Perlu dicatat, KSMBD tidak aktif secara bawaan di semua distribusi. Red Hat Enterprise Linux misalnya tidak menyertakan KSMBD secara default. Namun sejumlah distribusi lain dan banyak perangkat NAS berbasis Linux mengaktifkannya untuk berbagi file.

Dua celah yang dilaporkan

• ZDI-CAN-33774 — race condition pada dispatcher protokol (CVSS 9.0). Bisa dipicu tanpa autentikasi oleh siapa pun yang bisa menjangkau port 445. Penyerang mengirim rentetan paket SMB1 pendek lalu satu paket SMB2 dalam satu tulisan TCP; worker kemudian memproses data SMB1 dengan handler SMB2 sehingga membaca melewati batas buffer. Setelah punya akses ke sebuah share, ada jalur untuk menulis melewati buffer.
• ZDI-CAN-33549 — integer underflow di jalur SMB Direct (CVSS 9.0). Klien mengirim RDMA buffer descriptor yang panjangnya melebihi payload yang dideklarasikan; penghitung ukuran di server berputar (wrap) dan proses salin memori berikutnya menimpa ujung buffer yang dialokasikan. Syaratnya tiga: antarmuka RDMA (perangkat keras atau driver perangkat lunak rxe), share KSMBD yang bisa ditulis, dan klien yang menegosiasikan SMB Direct.

Cek dalam dua menit: apakah server Anda terdampak

1. Jalankan systemctl status ksmbd. Kalau statusnya active (running), layanan sedang berjalan.
2. Jalankan lsmod | grep ksmbd. Kalau modul tampil, berarti kernel memuatnya.
3. Jalankan ss -ltnp | grep :445. Port 445 yang terbuka menandakan SMB sedang melayani jaringan.
4. Periksa dari luar: dari komputer lain di internet jalankan nc -zv IP_PUBLIK 445. Kalau tersambung, port SMB Anda terbuka ke internet — ini kondisi paling berbahaya.

Mitigasi yang bisa dilakukan sekarang

1. Kalau KSMBD tidak dipakai, nonaktifkan. Hentikan layanannya dengan systemctl stop ksmbd lalu matikan permanen dengan systemctl disable ksmbd. Setelah itu cegah modul dimuat otomatis dengan menambahkan baris blacklist ksmbd ke file di /etc/modprobe.d/ (misalnya /etc/modprobe.d/blacklist-ksmbd.conf), dan tutup port 445 di firewall.

2. Kalau KSMBD wajib dipakai, kurangi permukaan serangan.

• Batasi port 445 hanya untuk jaringan lokal atau VLAN kantor, jangan pernah dibuka ke internet. Akses jarak jauh sebaiknya lewat VPN.
• Nonaktifkan SMB Direct/RDMA jika tidak benar-benar dipakai. Langkah ini menutup ZDI-CAN-33549 sepenuhnya.
• Beri hak tulis hanya pada folder yang memang perlu. Share read-only menutup jalur eskalasi pada ZDI-CAN-33774.
• Aktifkan logging akses SMB dan pantau koneksi berulang dari alamat IP asing.
• Pastikan backup harian berjalan dan tersimpan di mesin terpisah, karena eksekusi kode di level kernel bisa berujung pada ransomware.

3. Pantau patch. Kedua celah belum punya nomor CVE karena proyek kernel baru memberikan CVE setelah perbaikan masuk ke stable tree. Menurut Phoronix, perbaikan untuk ZDI-CAN-33549 sudah berada di branch yang disiapkan untuk siklus kernel berikutnya dan kemungkinan dipercepat, sedangkan untuk ZDI-CAN-33774 belum ada perbaikan bernama di mainline maupun linux-next. Periksa pembaruan kernel distribusi minimal seminggu sekali (apt update lalu apt upgrade, atau dnf update) dan segera terapkan begitu patch stable tersedia.

Pelajaran yang lebih besar: AI menemukan bug lebih cepat

Laporan ini ditemukan oleh TrendAI, pemindai AI milik Trend Micro. Dokumentasi keamanan kernel yang diperbarui Mei 2026 menyebut bug hasil alat AI dianggap sudah publik dan karena itu dikirim ke milis pengembang subsistem. Konsekuensinya, kita akan makin sering melihat celah kritis diketahui publik lebih dulu daripada patch-nya.

Untuk pengelola TI instansi, prioritasnya bukan menunggu pengumuman resmi, tetapi tahu persis apa yang berjalan di server sendiri: inventaris layanan, port yang terbuka, dan jadwal patch yang disiplin. Server file yang hanya dipakai di jaringan kantor biasanya aman selama port 445 tidak terekspos ke internet dan share bersifat read-only.

Jika Anda mengelola file server sekolah, desa, atau kantor dan ingin audit cepat port serta layanan yang terbuka, tim eaSYstem dapat membantu pengecekan dan pengetatan konfigurasi tanpa mengganggu operasional harian.

Sumber: The Hacker News — Two CVSS 9.0 Linux KSMBD RCE Flaws Disclosed on Public Mailing Lists Before Kernel Fixes; Phoronix — Several Linux Kernel Vulnerabilities Accidentally Posted To Public Kernel Mailing List; ZDI Upcoming Advisories.