JetBrains mempublikasikan advisory keamanan 30 Oktober 2026 dan menyerukan update JetBrains eMudhra di toolchain IDE setelah private key delapan sertifikat intermediate eMudhra bocor. Menurut posting keamanan JetBrains, penyerang di jaringan yang sama bisa meniru layanan yang IDE hubungi. Risikonya man-in-the-middle terhadap update server, repositori, atau API yang tools developer percaya.
Update sistem operasi saja tidak memadai karena IDE memakai JetBrains Runtime (JBR) dengan trust store sendiri. Namun tim WordPress atau PHP yang mengandalkan PhpStorm perlu memeriksa versi IDE, Toolbox App, dan daemon jetbrainsd, bukan hanya patch OS.
Tiga lapisan trust store JetBrains
Fix JBR mengintegrasikan patch Oracle terkait CVE-2026-91403 dan CVE-2026-114820. Stack itu memblokir sertifikat terkompromi serta root emSign G1, G2, G3, dan AAA Certificate Services sesuai wording advisory JetBrains. Lapisan kedua, JCEF (embedded browser), JetBrains perbaiki di rilis 2025.3+ lewat pembaruan sertifikat ala Chrome (CVE-2026-118696).
JCEF membutuhkan akses ke server update Google. Bila firewall memblok akses itu, JetBrains menyarankan menonaktifkan JCEF sesuai workaround resmi. Layanan latar belakang jetbrainsd memakai trust store terpisah. Versi jetbrainsd 0.9.9728 (CVE-2026-118697) menutup celah itu. Kemudian memperbarui satu aplikasi yang membawa jetbrainsd versi tersebut bisa memperbaiki semua app JetBrains di user yang sama.
Konteks insiden CA skala internet ada di artikel Cloudflare tentang telemetry eMudhra dan ringkasan patch stack di patch keamanan stack web.
Versi minimum update JetBrains eMudhra
Toolbox App aman pada 3.9.1 dan 3.8.2 menurut advisory. Contoh IDE fixed termasuk IntelliJ IDEA 2026.2.4 dan 2026.1.5.1. PhpStorm dan WebStorm mengikuti garis serupa. JetBrains menyediakan matriks lengkap di halaman status produk terpisah pada domain blog.security.jetbrains.com.
Cabang IDE 2025.1 ke bawah serta Toolbox 3.7 ke bawah tidak menerima fix dan wajib upgrade ke rilis supported. Untuk garis 2025.2.6.x, advisory menyatakan update saat publikasi hanya berisi fix JBR. Hotfix JCEF terpisah belum tersedia, jadi disable JCEF menjadi mitigasi sementara.
JetBrains menyatakan belum aware eksploitasi aktif terhadap pengguna JetBrains saat publikasi. Produk lain seperti TeamCity, Kotlin toolchain, MPS, atau Qodana dapat masih in progress. Jadi cek halaman status resmi sebelum mengasumsikan semua toolchain sudah aman.
Checklist pembaca PHP dan WordPress
Buka About dialog IDE dan catat versi lengkap, bandingkan dengan matriks JetBrains. Update Toolbox App terlebih dahulu bila itu jalur distribusi IDE Anda. Verifikasi jetbrainsd minimal 0.9.9728 lewat log update atau dokumentasi JetBrains.
Apabila JCEF tidak dapat reach Google update server, pertimbangkan workaround disable JCEF sampai hotfix tersedia. Artikel code editor populer untuk programer membahas pemilihan editor dan workflow tim. Patch trust store CMS WordPress 7.1.4 berbeda domain: itu mesin production, sementara advisory ini workstation developer.
Gateway, ReSharper, dan tim remote
Gateway dan ReSharper masuk cakupan advisory yang sama. Setiap produk JetBrains yang melakukan TLS outbound memakai rantai kepercayaan JBR atau komponen terkait. Tim remote development harus memverifikasi versi Gateway App dan plugin IDE yang terhubung, bukan hanya workstation lokal.
Agensi WordPress dengan banyak freelancer perlu standarisasi versi Toolbox agar jetbrainsd terbaru terdistribusi merata. Satu mesin lama yang masih trust intermediate eMudhra bisa menjadi titik lemah saat clone repositori privat atau pull package registry.
CI, proxy, dan verifikasi pasca-patch
Lantaran corporate proxy kerap melakukan TLS inspection, kombinasi MITM jaringan kantor plus trust store IDE lama memperbesar permukaan serangan. Patch JetBrains dan patch OS saling melengkapi, tidak saling menggantikan.
Sebelum deploy pipeline production, Anda perlu cek ulang halaman status JetBrains untuk TeamCity, Qodana, dan Kotlin toolchain. Status in progress berarti jangan anggap CI/CD sudah aman hanya karena laptop developer sudah melakukan update.
Setelah upgrade, uji koneksi IDE ke update channel, Git remote, dan registry privat dari jaringan yang sama dengan produksi. Akhirnya, error sertifikat yang tiba-tiba muncul setelah patch bisa berarti mitigasi bekerja, bukan regresi konfigurasi sembarangan.
Sebelum migrasi cabang IDE lama, backup konfigurasi proyek dan plugin. Redaksi hanya menulis nomor CVE bila advisory JetBrains memuatnya, tanpa menambah entri baru tanpa sumber.
