Sorothari – 20 Oktober 2026 | Perusahaan infrastruktur internet dan keamanan siber Cloudflare kembali menjadi sorotan dalam sejumlah perkembangan terbaru, mulai dari analisis dampak serangan drone Ukraina terhadap pusat data Yandex di Rusia, temuan celah keamanan pada platform kontainer, hingga sorotan senator Amerika Serikat terkait perlindungan privasi situs pemerintah. Berbagai peristiwa itu menunjukkan peran sentral perusahaan asal San Francisco tersebut dalam lalu lintas internet global sekaligus risiko yang menyertainya.
Dalam laporan yang mengutip analisis Cloudflare, serangan Ukraina terhadap tiga fasilitas data center Yandex pada 8 hingga 11 Oktober menyebabkan penurunan tajam permintaan ke layanan milik raksasa teknologi Rusia itu. Permintaan ke Yandex Search dilaporkan turun hingga 99 persen di bawah baseline, sementara permintaan dari Yandex.Cloud berada 90 persen di bawah baseline. Reuters juga melaporkan gangguan pada sejumlah layanan Rusia, termasuk Cian, Litmarket, Russian Railways, dan situs klub sepak bola Spartak Moscow.
Baca juga:Namun, narasi yang berkembang di media sosial bahwa serangan tersebut telah melumpuhkan aktivitas bot Rusia dinilai terlalu sederhana. Analisis Cloudflare hanya mengukur permintaan web yang mencapai situs-situs yang dilindungi jaringannya, bukan jumlah manusia, unggahan media sosial, atau akun propaganda. Sebagian besar aktivitas bot yang terukur berasal dari crawler pencarian terverifikasi, yang berbeda dari bot media sosial. Dampak terbesarnya adalah terganggunya kemampuan Yandex memperbarui indeks pencarian, bukan hilangnya jaringan propaganda daring.
Dalam satu kasus yang menarik, pola aktivitas otomatis bervolume tinggi menghilang dari Yandex.Cloud dan muncul kembali di jaringan hosting Rusia lain dengan sidik jari teknis yang sama. Permintaan tersebut menyasar sebuah situs perjudian. Temuan ini menunjukkan bahwa aktivitas berbahaya dapat berpindah penyedia dan terus berlangsung meski infrastruktur yang digunakannya diserang secara fisik.
Celah Keamanan pada Platform Kontainer
Di sisi lain, Cloudflare mengungkap dan telah memperbaiki celah keamanan lintas penyewa pada platform Containers yang juga mendukung Cloudflare Sandboxes. Pelanggan akun berbayar Workers dilaporkan dapat memulihkan blok disk yang ditinggalkan oleh kontainer pelanggan lain di host yang sama. Perusahaan menyatakan tidak menemukan bukti bahwa celah tersebut dieksploitasi secara jahat.
Masalah ini bukan berasal dari batas mesin virtual, melainkan dari pengalokasi penyimpanan di lapisan bawah. Setiap kontainer Cloudflare berjalan di dalam mesin virtual Firecracker dengan root disk yang dapat ditulis, dikonfigurasi melalui mekanisme thin provisioning Linux device mapper. Resource pool yang terdampak menggunakan ukuran blok tipis 64 KiB dengan opsi skip_block_zeroing, yang menginstruksikan dm-thin untuk tidak menghapus blok yang baru dialokasikan sebelum diekspos.
Kombinasi tersebut menimbulkan kerentanan. Penulisan satu blok 4 KiB ke area yang belum dipetakan menyebabkan dm-thin mengalokasikan blok fisik 64 KiB dari resource pool yang dibagi antar akun pelanggan. Penulisan hanya menutupi 4 KiB, sementara hingga 60 KiB sisanya berpotensi masih menyimpan data dari kontainer sebelumnya. Pembacaan mentah disk kemudian dapat mengembalikan byte yang tidak pernah ditulis oleh kontainer baru.
Peneliti keamanan dari perusahaan Accomplish, Oren Yomtov, melaporkan masalah ini pada 4 September melalui program bug bounty Cloudflare. Dalam pengujiannya, ia memanfaatkan checksum blok direktori ext4 untuk membedakan blok yang ia tulis dari blok milik pengguna lain. Dari enam deployment produksi, seluruh 5.614 blok direktori yang dapat diuji berasal dari pengguna lain, dengan 2.700 inode direktori eksternal yang teridentifikasi. Data sisa ditemukan di 18 dari 24 titik deployment dan 20 dari 22 node underlying yang tersebar di empat benua.
Baca juga:Jenis blok yang berhasil dipulihkan mencakup struktur direktori, halaman basis data, dan basis data SQLite yang utuh secara struktural. Meski demikian, Cloudflare menegaskan sejumlah batasan: penyerang tidak dapat memilih korban, beban kerja, atau host, tidak dapat membaca disk yang sedang terhubung, dan tidak dapat menjamin keberadaan data sisa. Paparan data bergantung pada lokasi deployment dan blok yang dialokasikan ulang oleh dm-thin. Peneliti juga tidak mendemonstrasikan cara memanipulasi data pelanggan lain maupun dampak terhadap ketersediaan layanan.
Diskusi di LinkedIn di kalangan praktisi keamanan menyoroti titik kegagalan isolasi. Peter Ward, insinyur keamanan cloud senior di Visa, menilai persoalan semacam ini akan terus berulang. Menurutnya, untuk disk sementara dan host bersama, bidang kontrol harus secara eksplisit menerapkan pemeriksaan “zero on allocate” atau “wipe on free”, bukan hanya mengandalkan isolasi jaringan. Ia juga menawarkan metode pengujian yang dapat diterapkan tim pada platform kontainer atau serverless mana pun, yakni memeriksa apakah setiap jalur volume yang digunakan ulang telah dibersihkan saat dialokasikan dan memperlakukan data sisa pada penyimpanan bersama sebagai kontrol isolasi utama.
Privasi Situs Pemerintah AS dan Inisiatif Pengembangan
Isu lain datang dari Senator Amerika Serikat Ron Wyden dari Partai Demokrat, Oregon. Ia meminta CISA dan OMB mewajibkan lembaga pemerintah mengimplementasikan standar keamanan web yang menyembunyikan nama situs yang dikunjungi pengguna. Protokol tersebut, Encrypted Client Hello (ECH), melindungi nama situs saat browser pengguna terhubung ke sebuah situs dan telah didukung browser utama serta sejumlah penyedia infrastruktur web sejak 2023.
Kantor Wyden mengidentifikasi 350 alamat web federal yang belum menerapkan spesifikasi enkripsi tersebut. Situs-situs itu antara lain melayani lamaran kerja komunitas intelijen, layanan imigrasi, informasi kesehatan, dan situs diplomatik Amerika Serikat di seluruh dunia. Dalam suratnya kepada Pelaksana Tugas Direktur CISA Nick Andersen dan Deputi Chief Information Officer Federal Thomas Flagg, Wyden memperingatkan bahwa visibilitas tersebut dapat membuat penyadap jahat mengidentifikasi whistleblower, memprofilkan personel federal yang memiliki izin keamanan, melacak warga Amerika yang mencari dukungan krisis, dan memetakan interaksi antarlembaga.
Wyden juga meminta OMB, bersama CISA dan Kantor Direktur Siber Nasional, mewajibkan penyedia cloud dan jaringan mendukung teknologi tersebut agar memenuhi syarat untuk kontrak federal. Ia meminta tanggapan pada 20 November. Nextgov/FCW telah meminta komentar dari CISA dan OMB.
Surat itu secara khusus menyoroti dua layanan yang pengunjungnya berpotensi rentan. Platform Veterans Crisis Line milik Departemen Urusan Veteran menggunakan Amazon Web Services, yang menurut surat tersebut belum mendukung ECH untuk situs itu. Wyden memperingatkan paparan tersebut dapat membantu musuh asing mengidentifikasi veteran yang mencari bantuan kesehatan mental. Selain itu, situs tips.fbi.gov milik FBI menggunakan Cloudflare, penyedia yang mendukung ECH, tetapi portal tersebut belum mengaktifkannya. Senator menilai pengaturan saat ini dapat membahayakan identitas orang yang menghubungi biro tersebut. Potensi paparan FBI itu muncul setelah kelompok peretas kriminal produktif baru-baru ini mencuri banyak informasi karyawan sensitif terkait portal lowongan kerja biro tersebut.
Baca juga:Sementara itu, Cloudflare juga memperkenalkan sejumlah inisiatif pengembangan. Pada 15 Oktober 2026, perusahaan merilis Void, rangkaian perangkat lunak sumber terbuka berlisensi MIT yang menggabungkan pemrosesan sisi server, basis data, autentikasi, dan deployment ke dalam aplikasi yang dibangun dengan Vite. Void dikembangkan tim VoidZero, pembuat Vite, yang diakuisisi Cloudflare pada 4 Juni tahun yang sama. Dengan menulis import { db } from ‘void/db’, basis data Cloudflare D1 otomatis disediakan di produksi. Namun, kemudahan itu juga berarti ketergantungan yang dalam pada Cloudflare, dan fitur manajemen autentikasi otomatis masih terbatas pada konfigurasi native di platform tersebut. Void Platform yang banyak dibicarakan bukan untuk individu, melainkan platform deployment internal kelas perusahaan dengan paket berbayar mulai 25 dolar AS per bulan dan PostgreSQL.
Cloudflare juga merilis CMS sumber terbuka bernama EmDash yang memungkinkan agen AI mengelola situs web. Ringkasan di Jepang menyebutkan bahwa dengan mengirim instruksi singkat ke Claude Code, pengguna dapat membangun dan memperbarui situs, termasuk halaman manajemen, secara interaktif. Bagi pelaku usaha kecil yang kerap kesulitan memperbarui situs karena kesibukan, pendekatan ini menawarkan cara baru mengelola kehadiran digital. Meski demikian, keputusan mengadopsinya tetap perlu mempertimbangkan kebutuhan, kapasitas, dan ketergantungan pada ekosistem Cloudflare.
Hingga saat ini, belum ada keterangan resmi dari CISA dan OMB terkait permintaan Senator Wyden. Sementara itu, Cloudflare menegaskan telah menambal celah pada platform Containers dan tidak menemukan indikasi penyalahgunaan. Perkembangan berikutnya akan bergantung pada respons regulator, langkah pengamanan tambahan dari penyedia layanan, serta bagaimana organisasi menimbang manfaat dan risiko bergantung pada satu penyedia infrastruktur internet.
