CVE-2025-58360 adalah sebuah kerentanan keamanan berskala tinggi yang spesifik menyerang OSGeo GeoServer, sebuah server perangkat lunak open-source untuk berbagi data geospasial. Secara teknis, ini didefinisikan sebagai celah XML External Entity (XXE) yang memungkinkan pihak luar mengakses data tanpa izin (unauthenticated). Intinya, ini adalah definisi mimpi buruk bagi administrator sistem yang mengelola data peta digital, karena celah ini memberi pintu masuk bagi penyerang untuk mengintip file server kalian.
Rasanya isu keamanan pada software berbasis geospasial belakangan ini semakin intens. Baru-baru ini, Badan Keamanan Siber dan Infrastruktur AS (CISA) secara resmi menambahkan CVE-2025-58360 ini ke dalam katalog Kerentanan yang Dieksploitasi (KEV) mereka. Langkah ini diambil bukan tanpa alasan, melainkan karena sudah ada bukti nyata bahwa celah ini sedang “dimainkan” secara aktif di luaran sana. Kalau dilihat dari skor CVSS-nya yang mencapai 8.2, tingkat keparahannya nggak bisa dianggap remeh. Masalah utamanya terletak pada ketidakmampuan sistem membatasi referensi entitas eksternal XML dengan benar.
Secara spesifik, kerentanan ini terjadi ketika aplikasi GeoServer menerima input XML melalui endpoint tertentu, yaitu /geoserver/wms pada operasi GetMap. Di sinilah letak bahayanya, input XML yang kalian kira aman, ternyata bisa dimanipulasi oleh mereka (para penyerang) untuk mendefinisikan entitas eksternal. Begitunya serangan berhasil masuk, dampaknya bisa merembet ke mana-mana. Versi yang terdampak itu kuranglebihnya mencakup semua versi sebelum dan termasuk 2.25.5, serta versi 2.26.0 hingga 2.26.1. Untungnya, patch sudah tersedia di versi 2.25.6, 2.26.2, 2.27.0, 2.28.0, dan 2.28.1. Penemuan ini sendiri kreditnya diberikan kepada XBOW, sebuah platform penemuan kerentanan berbasis AI.
Lalu, apa yang sebenarnya bisa dilakukan penyerang lewat celah ini? Sepertinya cukup mengerikan. Jika eksploitasi berhasil, mereka bisa membaca file arbitrer dari sistem file server, melakukan Server-Side Request Forgery (SSRF) untuk berinteraksi dengan sistem internal yang seharusnya terisolasi, atau bahkan meluncurkan serangan Denial-of-Service (DoS) dengan menghabiskan sumber daya server sampai down. Paket yang terkena dampak meliputi docker.osgeo.org/geoserver, org.geoserver.web:gs-web-app (Maven), dan org.geoserver:gs-wms (Maven).
Meskipun detail teknis tentang bagaimana serangan real-world dilakukan belum sepenuhnya diungkap ke publik, peringatan dari Pusat Keamanan Siber Kanada pada akhir November 2025 menegaskan bahwa eksploitasi untuk CVE-2025-58360 sudah “eksis di alam liar”. Ini mengingatkan kami pada kejadian serupa tahun lalu dengan CVE-2024-36401 yang juga punya skor kritis. Kayaknya pola serangan terhadap GeoServer ini menjadi tren yang perlu diwaspadai betul oleh kalian para praktisi IT.
Dari perspektif praktis kami, situasi ini menuntut respon yang sangat cepat, bahkan lebih cepat dari tenggat waktu yang ditetapkan agensi federal AS. Membiarkan versi GeoServer yang rentan tetap berjalan sama saja dengan membuka pintu rumah lebar-lebar bagi pencuri. Celah XXE seperti ini seringkali luput dari pantauan karena letaknya yang spesifik di pemrosesan XML, tapi dampaknya bisa fatal bagi kerahasiaan data organisasi. Rekomendasi kami sangat jelas: segera perbarui ke versi yang sudah ditambal (patched) sekarang juga, jangan ditunda. Melakukan mitigasi hari ini jauh lebih baik daripada harus melakukan incident response besok pagi karena data sudah bocor. Terima kasih sudah menyimak ulasan ini, tetap waspada dan amankan sistem kalian, rekan-rekanita.