Dua celah keamanan berkategori kritis pada Wasmtime, yakni sebuah runtime WebAssembly yang kerap diintegrasikan ke dalam berbagai perangkat lunak lain, berpotensi memberikan celah bagi modul WebAssembly berbahaya untuk meloloskan diri dari pembatasan sandbox yang dirancang guna mengisolasinya, demikian konfirmasi resmi dari para pemelihara proyek tersebut.
Seorang penyerang pada awalnya memerlukan kompilasi modul yang berada di bawah kendalinya melalui instalasi Wasmtime yang masih rentan, sementara salah satu dari celah ini secara spesifik hanya berdampak langsung pada sistem berbasis arsitektur ARM64. Rilis perbaikan keamanan resmi telah diluncurkan pada rentang 19 dan 20 Oktober, dan pihak pemelihara memastikan belum ada laporan terkait insiden serangan aktif di lapangan.
Perangkat lunak Wasmtime berfungsi mengeksekusi kode WebAssembly di luar lingkungan peramban web konvensional. Kedua kerentanan tersebut bertempat di dalam Cranelift, yaitu komponen kompilator bawaan yang bertugas mengubah instruksi WebAssembly menjadi kode mesin tingkat rendah. Para pemelihara Wasmtime di Bytecode Alliance menetapkan tingkat keparahan masing-masing kerentanan pada skor 9.9 dari skala 10 menurut basis CVSS melalui buletin resmi yang diumumkan tanggal 19 Oktober.
Mekanisme sandbox pada dasarnya diciptakan demi menahan setiap aktivitas modul agar tetap berada di dalam batas-batas yang ditentukan secara ketat. Suatu modul seharusnya hanya diizinkan mempergunakan memori internal miliknya serta fungsi-fungsi host yang dialokasikan, dan eksekusi kodenya hanya diperkenankan berpindah menuju lokasi-lokasi instruksi yang sudah diperiksa secara valid.
Oleh karena kedua kerentanan tersebut mensyaratkan adanya modul khusus yang dirancang oleh peretas, ancaman terbesar mengintai layanan-layanan yang mengompilasi modul yang dikirimkan oleh pihak luar. Platform komputasi awan Fastly, sebagai contoh, menyatakan bahwa platform Compute miliknya mengeksekusi kode dari para pelanggan dengan memanfaatkan Wasmtime. Buletin keamanan tersebut tidak menyebutkan rincian penyedia layanan mana saja yang terdampak, atau memaparkan secara mendalam data apa saja yang berisiko diakses pelaku setelah berhasil menembus batasan isolasi sandbox.
Hingga tanggal 26 Oktober, kedua celah ini tercatat belum dimasukkan ke dalam daftar katalog Kerentanan yang Diketahui Telah Dieksploitasi milik Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA).
Daftar Versi yang Terdampak Kerentanan
Penanganan terhadap kedua celah tersebut diselesaikan pada waktu yang berlainan, sehingga status kerentanan instalasi Anda sangat ditentukan oleh lini versi yang sedang digunakan, serta untuk satu permasalahan khusus, ditentukan oleh jenis arsitektur prosesor pada mesin.
Wasmtime menyediakan skema dukungan jangka panjang (LTS), yang penomorannya menggunakan kelipatan angka 12, dengan masa sokongan pemeliharaan selama dua tahun penuh. Rilis versi reguler lainnya hanya mendapatkan periode pemeliharaan selama dua bulan. Pembaruan tambalan keamanan hanya dipastikan ketersediaannya untuk lini yang berada dalam masa dukungan resmi.
Saat ini, hanya varian rilis 36, 48, 49, dan 50 yang masih berada dalam status aktif didukung. Seluruh lini versi lainnya, termasuk rilis LTS versi 24.x yang masa layanannya telah berakhir pada tanggal 20 Agustus 2026, sama sekali tidak memperoleh perbaikan keamanan.
Host bersistem ARM64 yang sebelumnya memperbarui instalasi ke varian 36.0.7, 42.0.2, atau 43.0.1 pada bulan April guna menambal celah lolos sandbox Cranelift terdahulu di ARM64, dipastikan masih rentan terhadap CVE-2026-115893.
Pengguna diinstruksikan memperbarui sistem ke rilis perbaikan yang sesuai untuk lini masing-masing: versi 36.0.19, 48.0.7, atau 49.0.4. Versi Wasmtime 50.0.0, yang diluncurkan pada 20 Oktober, telah membawa perbaikan menyeluruh atas kedua celah tersebut. Lingkungan host yang beroperasi pada lini yang kedaluwarsa diwajibkan segera berpindah ke salah satu rilis aman ini.
Wasmtime dapat dipasang ke dalam aplikasi lain dalam wujud pustaka kode, sehingga langkah memperbarui perkakas baris perintah (CLI) semata tidak akan menyelesaikan persoalan ini. Setiap perangkat lunak yang mengompilasi Wasmtime secara internal harus dibangun dan dikompilasi ulang memakai pustaka yang telah diperbaiki.
Kedua dokumen penasihat tidak menyediakan metode mitigasi sementara. Sepanjang sistem host belum diperbarui, ancaman nyata dapat berasal dari modul mana pun yang bersumber dari kiriman pihak eksternal.
Kedua bug ini telah terdaftar di RustSec, basis data yang digunakan perkakas kargo-audit untuk memeriksa berkas konfigurasi Cargo.lock, dengan label registrasi RUSTSEC-2026-0380 serta RUSTSEC-2026-0379.
Per tanggal 26 Oktober, katalog penasihat keamanan GitHub telah menerbitkan entri yang ditinjau untuk CVE-2026-115889, namun belum memuat entri resmi bagi CVE-2026-115893. GitHub menegaskan bahwa hanya entri berstatus ditinjau yang memicu peringatan Dependabot, sehingga para pemakai Dependabot tidak boleh berharap mendapatkan sinyal notifikasi atas celah ARM64 ini.
Spin, sebuah perkakas sumber terbuka bagi pengembangan aplikasi WebAssembly nirserver yang beroperasi di atas Wasmtime, telah bermigrasi menggunakan Wasmtime 50.0.0 melalui rilis versi 4.2.4 pada tanggal 21 Oktober.
Mekanisme Teknis Terjadinya Kedua Celah
Celah CVE-2026-115889 bermula dari cara kompilator Cranelift mengelola angka yang dimanfaatkan untuk melacak nilai-nilai di dalam lingkup sebuah fungsi. Sebelum hadirnya versi 43, angka-angka pelacak ini dimasukkan ke dalam bidang data berukuran 24-bit, dan pada hasil kompilasi rilis, angka yang melebihi batas penampung akan meluap (overflow) secara hening tanpa menampilkan pesan kesalahan apa pun.
Kondisi ini mengakibatkan Cranelift merujuk pada nilai yang salah, sehingga menghasilkan bentukan kode mesin yang cacat. Fungsi WebAssembly berukuran luar biasa masif, atau kode yang sengaja dirancang menampung banyak nilai, mampu memanfaatkan kelemahan ini untuk memaksakan kerancuan tipe data (type confusion) hingga menembus isolasi sandbox, sebagaimana dijelaskan dalam buletin terkait.
Jalur pengembangan utama proyek Wasmtime sejatinya telah menyingkirkan anomali tersebut lebih dini. Komit perubahan yang digabungkan pada 18 Februari telah memperlebar ukuran bidang penyimpanan menjadi 32-bit dan dihadirkan langsung pada rilis Wasmtime 43.0.0 tanggal 20 Maret. Deskripsi saat itu sekadar menjabarkan tujuannya untuk mengompilasi fungsi berukuran lebih besar tanpa mengungkit persoalan sekuriti.
Lini LTS versi 36.x baru memperoleh implementasi perubahan yang sama pada 19 Oktober. Pihak pembuat buletin tidak mengungkap secara gamblang kapan tepatnya implikasi bahaya keamanan tersebut pertama kali teridentifikasi.
Sementara itu, CVE-2026-115893 berkaitan erat dengan instruksi WebAssembly br_table yang melompat ke salah satu dari banyak target instruksi bergantung pada nilai indeks. Nilai indeks yang keluar dari batas tabel semestinya diarahkan menuju target bawaan (default). Di arsitektur ARM64, Cranelift mengalihkan indeks di luar batas ini menuju target bawaan melalui lompatan cabang yang daya jangkauannya terbatas di kisaran 1 MiB.
Keberadaan br_table dengan jumlah target lebih dari kisaran 256.000 entri menyebabkan tabel lompatan membengkak melebihi kapasitas jarak jangkauan tersebut, yang berakibat pada pembelokan instruksi cabang secara keliru tanpa indikasi peringatan.
Seluruh mesin komputasi Wasmtime pada sistem ARM64 yang memakai konfigurasi standar “dapat dipaksa melompat mengeksekusi kode arbitrer melalui modul Wasm yang dikendalikan oleh penyerang,” bunyi buletin itu. Kerentanan mendasar ini ternyata telah bersarang semenjak Wasmtime pertama kali menyertakan dukungan terhadap platform ARM64 pada tahun 2020 silam.
Langkah perbaikan teknis kini mengarahkan indeks yang keluar batas langsung melalui tabel lompatan itu sendiri, menghilangkan keharusan adanya instruksi lompatan cabang jarak jauh. Versi yang telah ditambal juga diprogram menolak proses kompilasi struktur br_table yang memuat target instruksi melampaui ambang batas 65.520.
