Kerentanan kritis pada Wazuh Manager memungkinkan agent jahat atau agent yang telah terdaftar menyisipkan operasi OpenSearch _bulk arbitrer untuk memanipulasi alert, menghapus bukti forensik, dan merusak data SIEM. Advisory resmi dilacak sebagai GHSA-ff9g-85jq-r3g3, dipublikasikan pada 8 Juni 2026, dan tidak mencantumkan CVE publik; artikel referensi dipublikasikan pada 15 Juni 2026. Severity: High. (github.com)

Penyerang memanfaatkan NDJSON injection pada field DataValue.index di subsystem inventory_sync, lalu menyelundupkan operasi index/delete/update tambahan ke request OpenSearch _bulk. Dalam skenario default, pelaku dapat mendaftarkan agent anonim melalui wazuh-authd di TCP/1515 dan mengirim payload lewat kanal remoted AES di TCP/1514 agar operasi berbahaya dieksekusi dengan kredensial indexer Wazuh yang berprivilege tinggi. (github.com)

wazuh-manager versi 5.0.0-beta1 dan build 5.x beta lain yang masih memakai kode inventory_sync/indexer_connector yang belum diperbaiki; versi patch tersedia di 5.0.0-beta3. Cabang 4.x dinyatakan tidak terdampak. (github.com)

1. Segera upgrade Wazuh ke 5.0.0-beta3 atau versi yang lebih baru yang telah memuat perbaikan. (github.com)
2. Nonaktifkan anonymous agent enrollment pada wazuh-authd dan terapkan autentikasi serta verifikasi host yang ketat. (github.com)
3. Ganti kredensial/role indexer dari admin/all_access ke role minimum yang diperlukan agar dampak eksploit berkurang. (github.com)
4. Review log Wazuh dan OpenSearch untuk indikasi delete, update, atau modifikasi index yang tidak sah. (cybersecuritynews.com)