Penjelasan teknis
Startup keamanan Depthfirst mengungkapkan pada 6 Juni 2026 bahwa agen keamanan AI otonominya memindai ~1,5 juta baris kode C FFmpeg dan menghasilkan 21 kerentanan zero-day yang dikonfirmasi, masing-masing dengan input proof-of-concept yang dapat direproduksi, dengan total biaya menjalankan sekitar $1.000. Sembilan CVE ditugaskan (CVE-2026-39210 melalui CVE-2026-39218); 12 sisanya diperbaiki oleh pengelola FFmpeg tetapi tetap tanpa nomor. Kelas kerentanan mencakup heap buffer overflows (demuxer TS, dekoder VP9, pengurai MP4, swscale), stack buffer overflows (penanganan SDT, penanganan preset ffmpeg_opt.c), integer overflows (swscale), dan varian out-of-bounds/use-after-free di seluruh demuxer HLS, pemrosesan slice H264, dan jalur lainnya. Bug tertua — stack overflow di pengurai service-description-table (SDT) — dapat dilacak ke kode dari 2003, bertahan lebih dari dua dekade fuzzing dan tinjauan manual. Pengelola FFmpeg responsif dan sedang mengirimkan patch.
Vektor serangan
File media yang dibuat dengan cermat, transport stream berbahaya (MPEG-TS), video berkode VP9, input MP4/HLS/RTMP yang salah format, dan stream metadata broadcast menargetkan jalur parser/demuxer yang relevan. Titik akhir ingesti media yang dapat dijangkau secara eksternal (API unggahan, ingesti streaming, FFmpeg tertanam browser) adalah prioritas tertinggi. Lantai biaya $1.000 berarti metodologi penemuan ini kini dapat diakses oleh pelaku ancaman yang termotivasi pada tingkat pendanaan sub-negara bangsa.
Sistem yang terdampak
Sistem apa pun yang menggunakan build FFmpeg yang rentan: platform streaming video, API transcoding, peralatan yang berdekatan dengan browser, pekerjaan pemrosesan media CI/CD, roda video Python, citra kontainer Docker, aplikasi seluler, perangkat tertanam, dan pipeline prapemrosesan data pelatihan AI yang memproses media. Mengingat usia beberapa bug (~23 tahun), versi yang terpengaruh mencakup pada dasarnya semua rilis FFmpeg historis.
Mitigasi
Segera: (1) perbarui ke rilis FFmpeg yang dipatch terbaru di semua layanan pemrosesan media yang dapat dijangkau secara eksternal; (2) sandbox beban kerja transcoding dan isolasikan dari kredensial dan jaringan bernilai tinggi; (3) blokir atau validasi aliran MPEG-TS, HLS, dan RTMP yang tidak terpercaya di perimeter tempat tidak diperlukan; (4) audit citra kontainer dan vendor pihak ketiga untuk versi FFmpeg tertanam melalui SBOM. Jangka menengah: siapkan proses asupan patch dan triase untuk volume laporan kerentanan yang dihasilkan AI yang terus meningkat — lantai biaya ~$1.000 berarti volume pengungkapan akan meningkat tajam. Pantau halaman keamanan FFmpeg dan NVD untuk penugasan CVE tambahan.