Peringatan Ancaman

Ditemukan kerentanan keamanan dengan kode CVE-2026-40068 pada aplikasi Claude Code dengan skor CVSS 7.7 (kategori tinggi). Kerentanan ini memungkinkan terjadinya eksekusi kode arbitrer melalui teknik Git worktree spoofing. Masalah terjadi akibat mekanisme penentuan kepercayaan direktori (folder trust) yang tidak melakukan validasi terhadap isi file command dir pada git worktree. Penyerang dapat memanfaatkan kondisi ini untuk melewati dialog kepercayaan dan menjalankan malicious hooks pada sistem korban.

Dimana letak masalahnya?

Kerentanan terletak pada proses validasi folder trust dalam penggunaan perintah git worktree, khususnya pada file command dir yang tidak diverifikasi secara memadai. Hal ini memungkinkan penyerang mengarahkan ke jalur direktori yang sebelumnya telah dipercaya oleh korban.

Dampak bagi Aplikasi dan Pengguna

Eksploitasi yang berhasil dapat memungkinkan penyerang untuk:

• Menjalankan kode berbahaya secara arbitrer pada sistem korban.
• Mengakses sistem tanpa otorisasi.
• Mengganggu integritas dan ketersediaan sistem.
• Menyisipkan malicious hooks dalam lingkungan pengembangan.

Versi yang Terdampak dan Perbaikan

• Versi terdampak: versi sebelumnya.
• Perbaikan: Pengguna disarankan untuk segera memperbarui Claude Code ke versi 2.1.84 atau yang lebih baru.

Rekomendasi untuk Developer dan Tim Security

1. Segera lakukan pembaruan (update) aplikasi ke versi terbaru yang telah diperbaiki.
2. Hindari menjalankan repository dari sumber yang tidak terpercaya.
3. Lakukan validasi tambahan terhadap konfigurasi git worktree dan direktori kerja.
4. Terapkan prinsip least privilege pada lingkungan pengembangan.
5. Tingkatkan kesadaran keamanan terhadap potensi eksploitasi berbasis rekayasa sosial (social engineering).

Penutup

Kerentanan ini menunjukkan pentingnya validasi menyeluruh terhadap sumber dan konfigurasi lingkungan pengembangan. Pengguna dan pengelola sistem diharapkan segera melakukan mitigasi guna mencegah potensi eksploitasi yang dapat berdampak serius terhadap keamanan sistem.

Sumber Referensi:

• https://github.com/advisories/GHSA-q5hj-mxqh-vv77