Mesin virtual Google Cloud yang ditenagai chip AMD Turin memerlukan pembaruan sistem operasi tamu serta proses restart total guna mengantisipasi tiga celah keamanan saluran samping CPU, menurut konfirmasi Google pekan ini.
Pihak penyedia layanan telah menerapkan langkah mitigasi untuk mencegah potensi serangan antar-VM maupun dari VM ke sistem host. Kendati demikian, celah pada lingkungan internal VM masih berisiko memberi celah bagi penyerang yang menjalankan kode di inti prosesor yang sama guna menyadap informasi rahasia dari proses lain atau kernel sistem.
Daftar seri mesin virtual yang terdampak mencakup lini C4D, N4D, H4D, Z4D, serta G4, termasuk varian bare-metal untuk seri C4D dan Z4D. Turin sendiri merupakan nama sandi resmi prosesor AMD EPYC generasi kelima.
Ketiga kerentanan tersebut diklasifikasikan ke dalam kategori Transient Scheduler Attacks (TSA). Dua di antaranya, yakni TSA-SQ (CVE-2024-36350) serta TSA-L1 (CVE-2024-36357), awalnya telah diumumkan pada 8 Juli 2025 untuk model prosesor EPYC generasi terdahulu.
AMD saat ini menyatakan bahwa jajaran prosesor Zen 5 miliknya, yang menaungi Turin, "terdampak secara berbeda dibandingkan karakteristik prosesor AMD yang diidentifikasi sebelumnya." Sementara itu, kerentanan ketiga, CVE-2026-0004, merupakan celah baru. Bug ini berpotensi dimanfaatkan oleh penyerang yang memiliki akses eksekusi kode lokal untuk membaca memori dalam cache data L1 prosesor.
Xen Project, organisasi pengelola hypervisor Xen, menjuluki kerentanan anyar tersebut sebagai TSA-Fill. Komunitas ini turut meluruskan pernyataan lama: "AMD sebelumnya sempat menyatakan prosesor Zen5 kebal terhadap ancaman TSA-SQ dan TSA-L1."
Google menetapkan tingkat keparahan insiden ini pada level Sedang. Menurut buletin teknis Zen 5 dan rincian penasihat CVE-2026-0004, AMD menggolongkan seluruh kerentanan sebagai serangan lokal dengan tingkat kompleksitas tinggi yang hanya menuntut hak akses rendah.
Hingga saat ini, belum ada satu pun dari ketiga celah tersebut yang terdaftar di katalog KEV milik Badan Keamanan Siber dan Infrastruktur AS (CISA). Kedua korporasi juga menyatakan belum menemukan adanya kasus eksploitasi aktif di dunia nyata.
Langkah Mitigasi untuk Pengguna Google Cloud
Panduan keamanan yang dirilis Google menjabarkan instruksi perbaikan teknis bagi para pengguna layanannya:
Pelanggan mesin berbasis prosesor lawas seperti Rome, Milan, dan Genoa sebelumnya juga menerima arahan serupa terkait proses henti dan nyalakan ulang dalam laporan disclosure perdana tertanggal 8 Juli 2025.
Manajemen Google tidak memberikan solusi alternatif sementara bagi VM yang vendor sistem operasinya belum mendistribusikan patch keamanan. Perusahaan juga belum menjelaskan cara memastikan apakah pembaruan mikrokode CPU telah aktif di dalam VM.
Sebuah commit kernel untuk memitigasi TSA pada arsitektur Zen 5, termasuk varian terbarunya, telah digabungkan ke repositori kernel Linux. Saat ini, Debian baru menutup celah CVE-2026-0004 pada cabang kernel unstable, sedangkan pelacak keamanan mereka masih mencatat kernel versi bookworm, trixie, dan forky berada dalam status rentan.
Bagi pengelola infrastruktur mandiri berbasis server Turin on-premise, AMD menegaskan perlunya pembaruan firmware platform serta update OS untuk mengatasi celah secara menyeluruh. Penerapan mitigasi ini dapat memengaruhi kinerja komputasi, sehingga administrator disarankan mengevaluasi risiko performa terhadap beban kerja masing-masing sesuai pedoman teknis.
Di sisi lain, Xen Project telah merilis tambalan hypervisor resmi. Mereka mengonfirmasi mikrokode mitigasi seluruh bug TSA untuk platform Zen 5 sudah tersedia di repositori linux-firmware sejak 23 September.
