Qualcomm Rilis Pembaruan Keamanan Krusial, Tutup Celah Zero-Day yang Telah Dieksploitasi dalam Serangan Siber Bertarget
JAKARTA – Qualcomm, raksasa global produsen chip ponsel, pada Senin (2/6/2025) mengeluarkan pembaruan keamanan yang sangat penting. Langkah ini diambil untuk mengatasi serangkaian celah keamanan serius yang ditemukan pada puluhan jenis chipset miliknya, termasuk tiga celah “zero-day” yang menurut perusahaan telah dimanfaatkan dalam serangan siber yang ditargetkan.
Ketiga celah kritis ini, yang dilaporkan pertama kali oleh tim keamanan Android Google pada Februari lalu, telah diberi kode identifikasi sebagai CVE-2025-21479, CVE-2025-21480, dan CVE-2025-27038. Informasi lebih lanjut dari Techcrunch pada Rabu (4/6/2025) mengungkapkan bahwa penemuan celah-celah ini merupakan hasil kerja keras Google Threat Analysis Group (TAG), sebuah tim elite yang memang berfokus memburu serangan siber yang didukung oleh negara.
Qualcomm mengonfirmasi bahwa ketiga kerentanan ini “mungkin sedang dieksploitasi secara terbatas dan bertarget,” meskipun hingga kini belum ada rincian publik mengenai identitas pelaku atau korban serangan tersebut. Meski demikian, kasus serupa di masa lalu menunjukkan bahwa celah pada chipset Qualcomm sering kali dimanfaatkan dalam kampanye *spyware* komersial, bahkan oleh aparat penegak hukum untuk membobol perangkat guna tujuan tertentu.
Secara rinci, dua dari celah tersebut (CVE-2025-21479 dan CVE-2025-21480) merupakan kelemahan otorisasi pada komponen grafis (GPU) Adreno. Celah ini berpotensi menyebabkan kerusakan memori yang serius. Sementara itu, celah ketiga (CVE-2025-27038) adalah *bug use-after-free* pada *driver* grafis yang juga bisa mengakibatkan kerusakan memori, terutama saat me-*rendering* grafis di peramban Chrome. Menurut laporan Security Week, dua celah pertama dinilai sangat kritis dengan skor keparahan 8.6/10, sedangkan celah ketiga memiliki skor 7.5/10.
Qualcomm telah mengirimkan *patch* untuk ketiga celah ini kepada para produsen perangkat (OEM) sejak Mei lalu, disertai rekomendasi kuat agar segera menerapkan pembaruan pada perangkat yang terdampak. Namun, kompleksitas ekosistem Android yang terbuka dan terdistribusi berarti implementasi *patch* sangat bergantung pada inisiatif masing-masing produsen. Akibatnya, banyak perangkat masih akan tetap rentan selama beberapa minggu ke depan hingga pembaruan keamanan benar-benar diterapkan secara luas.
Menanggapi situasi ini, Google memastikan bahwa perangkat Pixel miliknya tidak terdampak oleh celah keamanan ini. Oleh karena itu, para pengguna perangkat Android lainnya diimbau keras untuk senantiasa memperbarui perangkat mereka dan secara aktif memantau pengumuman resmi dari produsen masing-masing untuk memastikan perlindungan optimal.
Bleeping Computer menambahkan bahwa chipset pada perangkat seluler, termasuk GPU Adreno milik Qualcomm, memang telah menjadi target favorit bagi para peretas dan pengembang *exploit zero-day*. Alasannya sederhana: chip ini memiliki akses yang sangat luas ke sistem operasi, sehingga jika berhasil dieksploitasi, penyerang dapat memperoleh akses penuh ke data sensitif lainnya yang tersimpan di perangkat. Sebagai contoh konkret, dalam beberapa bulan terakhir, telah terjadi sejumlah kasus eksploitasi terhadap chipset Qualcomm, termasuk penggunaan celah *zero-day* oleh aparat di Serbia untuk membobol perangkat aktivis dan jurnalis dengan menggunakan alat forensik khusus.
