Mesin virtual Google Cloud yang ditenagai chip AMD Turin memerlukan pembaruan sistem operasi tamu serta proses henti-dan-mulai ulang (stop-and-start) guna mengantisipasi tiga celah keamanan saluran samping CPU, ungkap Google pekan ini.
Pihak penyedia layanan awan tersebut telah menerapkan langkah mitigasi untuk mencegah potensi serangan antar-VM maupun dari VM menuju host. Kendati demikian, di dalam cakupan internal VM, kerentanan ini memungkinkan penyerang yang menjalankan kode pada inti prosesor identik menyimpulkan data milik proses lain atau kernel sistem.
Deretan seri mesin yang terdampak meliputi varian C4D, N4D, H4D, Z4D, serta G4, termasuk instans bare-metal untuk seri C4D dan Z4D. Nama Turin sendiri merupakan sebutan kode resmi bagi prosesor AMD EPYC generasi kelima.
Ketiga kerentanan tersebut dikategorikan sebagai Transient Scheduler Attacks (TSA). Dua di antaranya, yakni TSA-SQ (CVE-2024-36350) dan TSA-L1 (CVE-2024-36357), awalnya telah diungkap pada 8 Juli 2025 untuk lini prosesor EPYC generasi terdahulu.
Kini AMD menyatakan bahwa prosesor berbasis Zen 5, yang mencakup arsitektur Turin, "terdampak secara berbeda dari prosesor AMD yang diidentifikasi sebelumnya." Celah ketiga, CVE-2026-0004, merupakan temuan mutakhir. Kerentanan ini berpotensi memfasilitasi pelaku yang mengeksekusi instruksi pada sistem untuk membaca informasi di dalam L1 data cache milik prosesor.
Proyek Xen, entitas pengelola hypervisor Xen, memberi nama masalah baru tersebut TSA-Fill. Pengelola Xen turut mengoreksi rilis terdahulu: "AMD sebelumnya mengklaim bahwa CPU Zen5 tidak rentan terhadap TSA-SQ dan TSA-L1."
Google menetapkan tingkat keparahan isu ini pada level Medium. Di sisi lain, AMD mengategorikan ketiganya sebagai serangan lokal berkategori kompleksitas tinggi yang hanya memerlukan hak akses rendah, merujuk buletin Zen 5 serta panduan penasihat CVE-2026-0004.
Hingga saat ini, belum ada satu pun dari ketiga celah tersebut yang dimasukkan ke katalog KEV (Known Exploited Vulnerabilities) milik Badan Keamanan Siber dan Infrastruktur AS (CISA). Kedua korporasi juga tidak melaporkan adanya insiden eksploitasi aktif dalam publikasi teknis mereka.
Langkah yang Harus Dijalankan Pengguna Google Cloud
Pemberitahuan keamanan dari Google menyajikan panduan penanganan bagi masing-masing layanan:
Para pemakai prosesor generasi lama seperti Rome, Milan, dan Genoa telah menerima panduan henti-dan-mulai yang serupa lewat rilis terdahulu saat pembukaan isu perdana pada 8 Juli 2025.
Google tidak mencantumkan solusi alternatif sementara bagi VM yang vendor sistem operasinya belum mendistribusikan berkas perbaikan. Perusahaan juga belum menjelaskan cara verifikasi untuk memastikan pembaruan data CPU telah diterapkan seutuhnya di VM.
Sebuah komit kernel yang memitigasi TSA pada Zen 5, mencakup varian teranyar, telah tersedia dalam repositori kode sumber kernel Linux. Saat ini, Debian baru menangani CVE-2026-0004 pada kernel Linux untuk cabang unstable. Pelacak keamanannya mencatat kernel versi bookworm, trixie, serta forky masih berstatus rentan.
Terkait operasional server Turin mandiri pada perangkat keras on-premise, AMD menegaskan bahwa pembaruan firmware platform sekaligus OS diperlukan demi menutup celah sepenuhnya. Langkah perbaikan dapat berdampak pada kinerja komputasi, sehingga administrator diimbau menimbang risiko terhadap beban kerja sistem, berdasarkan anjuran teknis pabrikan.
Proyek Xen telah merilis tambalan hypervisor melalui publikasi keamanan resminya. Mereka menambahkan bahwa mikrokode penangkal seluruh varian TSA untuk Zen 5 telah terintegrasi ke linux-firmware sejak 23 September.
