Jurnal keamanan.

Kerentanan kernel Linux CVE-2026-98432 ditutup

Kerentanan CVE-2026-98432 ditemukan pada cara kernel Linux menangani koneksi TCP masuk. Kerentanan ini memengaruhi server Linux, apa pun layanan yang dijalankannya.

Kernel pada server platform dan server VPN aktif milik mitra dengan versi sistem yang didukung telah diperbarui ke versi yang berisi perbaikan.

Batas formulir dukungan publik diselaraskan

Laporan dari Parth Narula menunjukkan bahwa dengan alamat email lain, formulir dukungan publik kami dapat digunakan untuk mengirim permintaan tambahan. Kami menyelaraskan batas formulir, sehingga mengganti alamat tidak lagi memberikan permintaan tambahan. Terima kasih atas laporan yang bertanggung jawab.

Akses ke antarmuka layanan dukungan dibatasi

Seorang peneliti eksternal menunjukkan bahwa antarmuka layanan dukungan dapat diakses dari internet. Antarmuka itu memerlukan autentikasi; tidak ditemukan tanda akses tidak sah maupun pengungkapan data pengguna.

Kami mengeluarkan layanan dukungan dari permukaan publik: akses hanya diizinkan dari alamat tepercaya dan melalui saluran internal. Pengaturan antarmuka telah diselaraskan dengan domain yang digunakan, dan pembatasan diverifikasi dari jaringan eksternal.

Alamat kembali dibatasi pada halaman panel

Seorang peneliti menemukan bahwa alamat kembali internal setelah pemulihan sesi dapat ditafsirkan oleh browser sebagai perpindahan ke situs eksternal. Skenario ini memerlukan sesi yang valid dan tidak memberi akses ke akun atau data.

Kini alamat kembali dipilih dari daftar tertutup halaman internal. Nilai lain apa pun mengarah ke halaman utama panel. Perbaikan ini tercakup oleh uji negatif otomatis.

Penegakan DMARC diaktifkan

Seorang peneliti keamanan menemukan bahwa kebijakan DMARC createyourvpn.com hanya berjalan dalam mode pemantauan dan tidak mewajibkan penolakan pesan yang gagal divalidasi. Kami mengaktifkan p=reject untuk domain utama dan sp=reject untuk subdomainnya yang tidak mengirim email. Email transaksional tetap dipisahkan pada subdomain pengiriman tersendiri dengan kebijakan SPF, DKIM, dan DMARC masing-masing.

MTA-STS dan pelaporan TLS diaktifkan

Seorang peneliti keamanan menemukan bahwa MTA-STS dan pelaporan TLS belum dikonfigurasi untuk email masuk di createyourvpn.com. Kami menerbitkan kebijakan MTA-STS dan mengaktifkan pelaporan TLS. Kebijakan awalnya berjalan dalam mode pengujian sementara kami memeriksa jalur penerusan pihak ketiga; penegakan akan diaktifkan setelah laporan bersih.

Kontrol sesi akun ditambahkan

Seorang peneliti keamanan menemukan bahwa salinan token sesi partner dapat tetap aktif setelah keluar jika diperbarui secara terpisah. Kami memindahkan sesi ke satu identitas sisi server: keluar kini mencabut seluruh sesi saat ini, sedangkan tindakan “Keluar di semua perangkat” mengakhiri semua sesi aktif.

Di panel kini tersedia bagian “Sesi akun”. Bagian ini menampilkan proses masuk saat ini beserta perangkat, alamat IP, waktu masuk, dan aktivitas terakhir, serta riwayat upaya masuk yang berhasil dan gagal selama 90 hari. Setiap sesi dapat diakhiri secara terpisah, atau semuanya sekaligus.

Enabled DNSSEC

A researcher found that DNSSEC was not enabled for createyourvpn.com. We signed the DNS zone, published the DS record in .com, and verified the chain of trust.

Perlindungan lebih kuat untuk formulir dukungan publik

Peneliti keamanan 0xVicky menemukan bahwa formulir dukungan publik kami dapat disalahgunakan untuk mengirim terlalu banyak permintaan. Kami menambahkan batas per pengunjung dan untuk keseluruhan lalu lintas, melindungi saluran pengiriman internal formulir, serta memperkuat pemeriksaan lampiran. Terima kasih atas laporan yang bertanggung jawab.

Pengelolaan sesi dan pengiriman kode masuk

Menindaklanjuti laporan dari seorang peneliti eksternal, kami meninjau dua area yang berdekatan: siklus hidup sesi mitra dan jalur email berisi kode masuk. Tidak satu pun temuan itu memberi akses ke akun, data mitra, atau lalu lintas pengguna.

Header keamanan pada halaman etalase

Etalase mitra tidak mengirim header keamanan yang sudah dikirim panel dan API — termasuk header yang melarang situs lain menampilkan halaman dalam bingkai. Data akun maupun sesi tidak dapat dibaca lewat jalur ini. Kini rangkaian lengkap menyertai setiap respons etalase, dan klaim SR-15 menyebut setiap frontend yang kami inangi.

Pengguna dapat mengatur ulang tautan langganannya sendiri

Tautan langganan adalah rahasia: siapa pun yang memilikinya memperoleh akses yang sama dengan pemiliknya. Pengguna dapat mengatur ulang tautan itu sendiri dari akunnya: tautan sebelumnya berhenti bekerja dan kredensial di baliknya diterbitkan ulang. Tautan yang ditutup dengan cara ini tetap tertutup, termasuk ketika data dipulihkan dari cadangan.

Alamat email pengguna etalase tidak lagi disimpan

Seseorang mengetik emailnya untuk masuk ke etalase mitra, tetapi alamat itu tidak mengendap di kami: email berisi kode terkirim dan alamatnya langsung dihapus. Akun dikenali lewat sidik tak terbalikkan yang alamatnya tidak dapat dipulihkan, dan nama akun pun tidak memuatnya.

Akses ke panel pengelolaan infrastruktur dibatasi

Seorang peneliti eksternal melaporkan bahwa antarmuka administrasi untuk pengelolaan infrastruktur merespons dari internet publik. Antarmuka itu terlindung oleh autentikasi dan tidak ditemukan tanda akses tidak sah. Laporan diterima dan akses dibatasi.

Antarmuka kini hanya dapat diakses dari alamat yang disetujui, persyaratan autentikasi diperketat, dan komponen terkait diperbarui. Hasilnya diverifikasi dari luar jaringan kami. Selain itu kami meninjau permukaan publik kami dan menambahkan pemeriksaan berkala. Imbalan dibayarkan pada tingkat tertinggi.

Menghapus jalur otorisasi API mitra yang tidak terpakai

API mendukung jalur otorisasi tambahan berbasis cookie yang tidak dibutuhkan oleh arsitektur server-side saat ini. Tidak ditemukan serangan lintas situs di production, tetapi jalur tambahan itu memperluas permukaan bagi kesalahan di masa depan. API kini menggunakan satu metode otorisasi yang didefinisikan secara eksplisit, tercakup oleh uji negatif.

Terjamin pembersihan kunci pengelolaan setelah penghapusan server

Pembersihan kunci pengelolaan terenkripsi berjalan setelah operasi jaringan di latar belakang dan bisa gagal terulang jika operasi itu gagal. Kami memisahkan pembersihan kunci dari kaskade jaringan dan menambahkan pengulangan yang terjamin. Skenario server tak terjangkau dan proses terputus tercakup oleh pengujian.

Kunci kriptografis platform dipisahkan menurut tujuan

Sebuah tinjauan internal menemukan bahwa satu rahasia dipakai untuk dua tugas kriptografis yang berbeda. Ini tidak menciptakan pengelakan langsung, tetapi memperluas dampak jika kunci disusupi. Kedua tujuan telah dipisahkan dan masing-masing kini dirotasi secara independen.

Mengurangi permukaan publik dari production API

Dokumentasi teknis interaktif API dapat diakses tanpa autentikasi. Itu tidak memberi akses ke data terlindung, tetapi mempermudah mempelajari struktur internal API. Di production dokumentasi kini dinonaktifkan, sementara tetap tersedia di lingkungan terisolasi untuk pengembangan.

Ditambahkan pengaman terhadap konfigurasi cross-origin yang tidak aman

Konfigurasi production saat ini tidak mengizinkan origin sembarangan, tetapi kode memungkinkan kombinasi parameter yang berbahaya jika seorang operator salah mengonfigurasinya. Kombinasi itu kini ditolak saat startup dan tercakup oleh uji otomatis.

Tinjauan internal sebelum peluncuran program

Pada 15 Juli 2026 kami memulai tinjauan keamanan internal CreateYourVPN. Perbaikan yang telah kami selesaikan dan verifikasi ulang dipublikasikan di bawah; lainnya akan menyusul seiring diterapkan dan dikonfirmasi.