Peneliti mengungkap 11 celah yang belum ditambal di Tailscale dan headscale, sebagian besar di Tailscale SSH

Erica Windisch dari Cyberdione Labs menerbitkan 11 temuan dengan nama Tailworm (tailworm.com) tanpa pengungkapan terkoordinasi, sehingga vendor tidak sempat menambalnya terlebih dahulu. Hingga 25 Oktober, belum ada laporan tentang patch atau CVE.

Yang dilaporkan peneliti:

• Temuan tersebut terbagi dalam lima kelompok: server SSH Tailscale, fitur serve dan app connector, klien relay DERP, serta headscale, server kontrol Tailscale sumber terbuka yang di-host sendiri.
• Ia menguji Tailscale 1.104.2 dan headscale 0.29.5 antara 22 dan 24 Oktober 2026.
• Kelompok yang paling serius terdapat di Tailscale SSH, yang berjalan di dalam tailscaled, proses dengan hak akses root. Dalam labnya, kondisi balapan memungkinkan satu perangkat yang telah dikompromikan mendapatkan akses root di server lain dan menambahkan node jahat ke jaringan. Satu bug mengubah akses non-root yang diotorisasi menjadi akses root melalui penerusan unix socket.
• Menurut laporan, serangan ini mengikuti kebijakan SSH dan memerlukan penerusan port diaktifkan. Penyerang harus sudah mengendalikan perangkat di tailnet yang diizinkan oleh kebijakan untuk menggunakan Tailscale SSH.

Tanggapan Tailscale: menurut sebuah unggahan rangkuman, VP of Engineering Mike Shaver membalas di Reddit bahwa berdasarkan penilaian saat ini, Tailscale tidak menyarankan untuk menonaktifkan Tailscale SSH selagi patch disiapkan. Langkah yang disarankan adalah meninjau kebijakan akses SSH dan menghapus izin penerusan SSH yang tidak diperlukan. Rangkuman tersebut menyebut Tailscale tidak memberikan tanggal rilis patch. The Hacker News, yang juga memberitakan laporan itu, mengatakan Tailscale memberi tahu mereka bahwa perbaikan sedang disiapkan.

Pengungkapan ini menarik banyak perhatian di X: unggahan IntCyberDigest dan The_Cyber_News masing-masing mendapat 4.539 dan 3.314 poin pada 25 Oktober.