Namanya sengaja dipilih untuk mengingatkan orang pada salah satu kerentanan software paling merusak dalam sejarah: Log4Shell. Bedanya, kali ini yang bobol bukan satu pustaka logging yang dipakai di mana-mana, melainkan mekanisme keamanan inti di empat agen coding AI paling populer sekaligus — Claude Code, Codex, GitHub Copilot, dan Gemini CLI. Perusahaan keamanan AIR Security mengungkap temuan ini pada 17 September 2026 lalu dengan nama Plugin4Shell: celah zero-click remote code execution yang tidak butuh satu klik pun dari korban untuk dieksekusi (air.security).
Cara kerja: pin yang terlihat dipatuhi, padahal tidak
Inti masalahnya ada di SHA pinning, mekanisme yang selama ini dipercaya developer untuk mengunci plugin yang mereka pasang ke versi kode tertentu yang sudah direview — biasanya lewat hash commit spesifik di marketplace plugin agen coding. Menurut AIR, keempat agen ini memang mencatat hash commit yang dipin dari marketplace, tapi tidak pernah benar-benar memverifikasi apakah checkout lokal yang dijalankan benar-benar berujung pada commit itu. Celahnya: penyerang yang menguasai repository sebuah plugin bisa membuat proses checkout berakhir di kode berbahaya, sementara catatan pin di sisi agen tetap terlihat "terpenuhi" — developer yang memeriksa konfigurasinya tidak akan melihat tanda bahaya apa pun (Help Net Security).
Karena eksekusinya terjadi otomatis begitu agen memuat plugin yang sudah dipin, tidak ada langkah tambahan yang perlu dilakukan korban — itulah yang membuatnya "zero-click". Dan karena empat agen berbeda dari empat vendor berbeda ternyata membuat asumsi arsitektur yang sama persis soal pinning, AIR menyebut ini kerentanan rantai pasok pertama yang benar-benar menyentuh seluruh ekosistem agen coding AI, bukan cuma satu produk (FourWeekMBA).
MacBook dengan baris kode di layar di atas meja kerja yang sibuk
Empat agen, empat nasib tambalan yang berbeda
Yang membuat kasus ini makin menarik diikuti adalah respons masing-masing vendor jauh dari seragam. Anthropic menambal Claude Code lewat versi 2.1.179, dan OpenAI menambal Codex di versi 0.146.0 — keduanya relatif cepat begitu diberi tahu. GitHub Copilot, di sisi lain, sampai laporan ini terbit belum mendapat tambalan sama sekali dari Microsoft, sehingga penggunanya tetap terekspos tanpa opsi mitigasi resmi. Google memilih jalan paling ekstrem: alih-alih menambal Gemini CLI, Google memutuskan men-deprecate produknya itu sepenuhnya — artinya setiap instalasi Gemini CLI yang masih berjalan akan tetap rentan selamanya, karena tidak akan pernah ada tambalan yang dirilis (Forkast).
AIR sendiri menyebut sudah menemukan bug ini sejak Mei 2026, lengkap dengan exploit proof-of-concept yang berhasil dijalankan di keempat agen, dan melaporkannya ke masing-masing vendor pada bulan berikutnya. Artinya ada jeda sekitar tiga bulan antara laporan awal dan pengungkapan publik — waktu yang lazim dalam disclosure bertanggung jawab, tapi juga menyisakan pertanyaan kenapa GitHub Copilot dan Gemini CLI belum (atau tidak akan pernah) mendapat tambalan meski sudah diberi tahu sejak Juni.
Foto hitam-putih casing rak persegi panjang berwarna abu-abu di rak kawat
Bukan celah yang sama dengan kasus Black Hat Agustus lalu
Penting dibedakan: ini bukan kerentanan yang sama dengan celah GitHub-issue-ke-runner-CI di Claude Code dan Gemini CLI yang dibongkar di Black Hat USA awal Agustus lalu. Celah Black Hat itu soal prompt injection lewat kolom deskripsi issue GitHub yang membajak runner CI, dengan CVE terpisah untuk masing-masing produk. Plugin4Shell soal lain sama sekali: bukan soal prompt injection, melainkan soal integritas proses checkout plugin yang dipin — dan menyasar Codex serta GitHub Copilot juga, dua produk yang tidak tersentuh temuan Black Hat. Sampai laporan ini ditulis, belum ada nomor CVE resmi yang dikeluarkan untuk Plugin4Shell, dan AIR menyatakan belum menemukan bukti eksploitasi di dunia nyata — meski mengingat jutaan instalasi agen coding ini tersebar di seluruh dunia, jendela risikonya tetap besar selama tambalan belum merata (air.security).
Takeaway
Plugin4Shell menunjukkan titik buta baru yang belum banyak dipikirkan industri: empat vendor berbeda ternyata membangun mekanisme keamanan plugin dengan asumsi arsitektur yang sama persis — dan salah satu asumsi itu keliru di keempatnya sekaligus. Respons yang berbeda-beda pun jadi sinyal penting bagi pengguna: Claude Code dan Codex sudah aman dipakai asal diperbarui ke versi terbaru, tapi GitHub Copilot masih menunggu tambalan resmi dan Gemini CLI tidak akan pernah mendapatkannya — bagi siapa pun yang masih menjalankan instalasi lama alat-alat ini di pipeline pengembangan, memverifikasi versi yang terpasang dan mempertimbangkan migrasi bukan lagi opsional, melainkan langkah keamanan dasar yang harus segera diambil.
---
Sumber gambar: Markus Spiske di Unsplash Sumber gambar: Christopher Gower di Unsplash Sumber gambar: imgix di Unsplash
The conversation 0
No comments yet. Start the conversation.