Google mengumumkan pekan ini bahwa mesin virtual Google Cloud yang beroperasi dengan prosesor AMD Turin memerlukan pembaruan sistem operasi tamu serta proses henti-dan-mulai guna menangkal tiga celah keamanan saluran samping CPU.
Pihak penyedia layanan telah menerapkan langkah mitigasi khusus untuk memblokir serangan lintas VM maupun infiltrasi antara sistem tamu dan mesin induk. Namun di dalam satu VM, kerentanan ini memungkinkan penyerang yang menjalankan kode pada inti prosesor identik membaca data proses lain atau mengekstrak informasi kernel.
Seri mesin komputasi yang terdampak mencakup model C4D, N4D, H4D, Z4D, serta G4, termasuk varian bare-metal C4D dan Z4D. Turin sendiri merupakan nama sandi arsitektur prosesor AMD EPYC generasi kelima.
Ketiga kerentanan tersebut tergolong dalam kategori Transient Scheduler Attacks. Dua masalah di antaranya, yakni TSA-SQ (CVE-2024-36350) beserta TSA-L1 (CVE-2024-36357), pertama kali dilaporkan kepada publik pada tanggal 8 Juli 2025 untuk prosesor generasi terdahulu.
Pihak AMD kini memaparkan bahwa jajaran prosesor Zen 5, termasuk seri Turin, "terdampak secara berbeda jika dibandingkan dengan karakteristik prosesor terdahulu." Masalah ketiga terdaftar sebagai CVE-2026-0004 dan merupakan celah anyar. Kerentanan tersebut membuka peluang bagi penyusup yang mengeksekusi kode program untuk menyimpulkan isi data pada cache data L1 milik prosesor.
Pengelola hypervisor Xen, Xen Project, melabeli celah baru tersebut dengan sebutan TSA-Fill. Komunitas ini juga menegaskan adanya revisi keterangan sebelumnya: "AMD sebelumnya mengklaim bahwa CPU Zen5 kebal terhadap ancaman TSA-SQ dan TSA-L1."
Google menetapkan tingkat keparahan isu ini pada kategori Medium. Merujuk buletin Zen 5 dan dokumen CVE-2026-0004, AMD menggolongkan ketiganya sebagai serangan lokal berkompleksitas tinggi yang hanya memerlukan hak akses pengguna rendah.
Hingga saat ini, belum ada satu pun dari ketiga celah yang masuk ke dalam katalog KEV milik Badan Keamanan Siber dan Infrastruktur AS. Laporan resmi dari kedua korporasi juga tidak mencatat adanya insiden eksploitasi aktif.
Langkah Penting bagi Pengguna Google Cloud
Panduan keamanan yang dirilis Google menjabarkan instruksi penanganan berikut bagi setiap pengguna layanan komputasi awan:
Para pemakai infrastruktur berbasis prosesor Rome, Milan, dan Genoa yang lebih tua sebelumnya telah menerima arahan henti-dan-mulai serupa saat pengumuman awal dirilis pada 8 Juli 2025.
Penyedia komputasi awan tidak menyertakan solusi sementara bagi pengguna VM yang penyedia sistem operasinya belum mendistribusikan berkas perbaikan. Google juga tidak merinci langkah verifikasi pembaruan informasi CPU pada instans VM.
Komit kernel untuk memitigasi TSA pada Zen 5 beserta varian mutakhirnya telah dimasukkan ke repositori sumber kernel Linux. Sampai hari ini, Debian baru menangani CVE-2026-0004 pada kernel Linux cabang unstable. Pencatat keamanan Debian masih mencantumkan kernel versi bookworm, trixie, dan forky sebagai sistem yang rentan.
Bagi pemilik peladen Turin mandiri, AMD menjelaskan bahwa perbaikan firmware platform sekaligus pembaruan OS wajib dipasang secara menyeluruh. Petunjuk teknis memperingatkan bahwa mitigasi berpotensi menurunkan kinerja sistem, sehingga administrator disarankan mengevaluasi risiko pada beban kerja masing-masing.
Xen Project telah mengeluarkan tambalan hypervisor dalam buletin resminya. Pihaknya mengonfirmasi bahwa mikrokode penangkal seluruh varian TSA untuk Zen 5 telah terintegrasi dalam linux-firmware sejak tanggal 23 September.
