Grafana 13.3.0 dan Patch Serentak Empat Cabang, 10 CVE Ditutup

Grafana merilis empat versi pada 27 Oktober 2026: 13.3.0, 13.2.5, 13.1.9, dan 13.0.12. Rilis 13.3.0 menutup 10 CVE, sementara tiga cabang lain masing-masing menutup 3 sampai 4 CVE. Semua nomor versi, tanggal, dan ID CVE di artikel ini dibaca dari halaman rilis resmi grafana/grafana pada 7 November 2026. Pola patch serentak seperti ini menyimpan pelajaran yang lebih berguna daripada daftar CVE-nya sendiri.

TL;DR

• Empat versi Grafana keluar pada hari yang sama, 27 Oktober 2026: 13.3.0, 13.2.5, 13.1.9, dan 13.0.12.
• 13.3.0 menutup 10 CVE, terbanyak di antara empat rilis itu.
• Tiga cabang lama menerima patch dengan daftar CVE yang lebih pendek, karena perbaikan yang sama sudah masuk ke cabang utama.
• Jarak rilis terjauh antar versi di hari itu hanya 26 menit, dari 13.3.0 ke 13.2.5.
• Instalasi yang tertinggal di 13.0 atau 13.1 masih bisa ditambal, tetapi tidak menerima seluruh perbaikan yang ada di 13.3.0.

Grafana adalah salah satu komponen yang sering dibuka ke jaringan internal dengan akses luas: ia menampilkan metrik, log, dan kadang data bisnis. Kesalahan menunda patch di komponen seperti ini tidak berhenti di satu dasbor, tetapi di seluruh data yang bisa dibaca dari dasbor tersebut. Artikel ini membedah pola rilis 27 Oktober 2026 dan menerjemahkannya jadi urutan tindakan yang bisa diperiksa ulang.

Berapa CVE yang ditutup tiap cabang Grafana?

Rilis 13.3.0 mencantumkan 10 CVE di bagian Security, 13.2.5 mencantumkan 4 CVE, sedangkan 13.1.9 dan 13.0.12 masing-masing mencantumkan 3 CVE. Angka itu bukan ukuran tingkat bahaya, melainkan jumlah perbaikan yang ikut masuk ke cabang tersebut.

Perhatikan pola irisan antar cabang. CVE-2026-100105, CVE-2026-88858, dan CVE-2026-88967 muncul di keempat rilis. Artinya tiga perbaikan itu dianggap cukup penting untuk dibawa ke semua cabang yang masih dirawat. CVE yang hanya muncul di 13.3.0 adalah perbaikan yang menempel pada kode versi baru, sehingga tidak bisa dipindahkan ke cabang lama tanpa perubahan besar.

Versi	Waktu rilis (UTC)	Jumlah CVE	Catatan
13.3.0	27 Oktober 2026, 11:08	10	Rilis minor dengan fitur baru dan seluruh perbaikan keamanan
13.2.5	27 Oktober 2026, 11:34	4	Patch keamanan untuk cabang 13.2
13.1.9	27 Oktober 2026, 11:22	3	Patch keamanan untuk cabang 13.1
13.0.12	27 Oktober 2026, 11:24	3	Patch keamanan untuk cabang 13.0

Selisih waktu 26 menit antara 13.3.0 dan 13.2.5 menunjukkan bahwa keempat rilis itu disiapkan dari satu basis perbaikan yang sama, lalu dipotong per cabang. Untuk operator, ini kabar baik: perbaikan penting tidak tertinggal di cabang terbaru saja.

Kapan harus pindah dari 13.0 atau 13.1 ke 13.3?

Pindah cabang masuk akal ketika versi yang dipakai tidak lagi menerima patch keamanan, atau ketika fitur yang dibutuhkan hanya ada di cabang lebih baru. Selama cabang lama masih menerima rilis patch, seperti 13.1.9 dan 13.0.12 pada 27 Oktober 2026, tetap di cabang itu adalah pilihan yang lebih murah daripada upgrade minor.

Alasannya bukan soal versi, tetapi soal luas perubahan. Upgrade minor membawa perubahan pada antarmuka, plugin, dan kadang perilaku query. Di instalasi yang memakai banyak plugin pihak ketiga, perubahan itu perlu diuji satu per satu. Patch keamanan dalam cabang yang sama jauh lebih sempit cakupannya.

Ada satu pengecualian yang perlu diperhatikan: ketika sebuah CVE hanya ditambal di cabang terbaru, cabang lama tidak akan pernah menerimanya. Pada rilis 27 Oktober 2026, tujuh CVE hanya tercantum di 13.3.0. Instalasi yang bertahan di 13.0 atau 13.1 tidak akan mendapat perbaikan untuk ketujuh CVE itu, sekalipun tetap menerima patch rutin.

Apa yang berubah secara fungsional di Grafana 13.3.0?

Di luar keamanan, 13.3.0 menambah modul batas API untuk notifikasi alerting, entri kontrol akses untuk aturan inhibisi, dan penolakan pembuatan peran global pada mode satu organisasi untuk edisi Enterprise. Perubahan lain tersebar di area provisioning dan plugin.

Modul batas API untuk notifikasi adalah perubahan arsitektur, bukan fitur yang terlihat pengguna. Tujuannya memisahkan jalur notifikasi dari sisa API agar beban pengiriman alert tidak mengganggu permintaan lain. Bagi tim yang menjalankan alerting dengan volume tinggi, pemisahan ini relevan karena jalur notifikasi punya pola beban yang berbeda dari jalur baca dasbor.

Penolakan pembuatan peran global pada mode satu organisasi menyentuh edisi Enterprise. Perubahan ini menutup kemungkinan sebuah peran berlaku lintas organisasi ketika instalasi hanya punya satu organisasi. Bagi instalasi open source, perubahan ini tidak berlaku, tetapi penting dicatat saat menyusun catatan upgrade gabungan antara kedua edisi.

Bagaimana urutan patch yang aman untuk instalasi Grafana?

Urutan yang aman dimulai dari memastikan versi yang berjalan, bukan dari menjalankan pembaruan paket. Banyak instalasi Grafana berjalan dari paket yang tertahan pada versi tertentu, sehingga asumsi "sudah versi terbaru" sering salah.

1. Catat versi yang berjalan dari halaman about atau dari keluaran perintah paket, lalu simpan di catatan pemeliharaan.
2. Baca bagian Security pada catatan rilis versi tujuan, dan bandingkan dengan versi yang berjalan.
3. Ekspor berkas konfigurasi dan basis data sebelum pembaruan, karena Grafana menjalankan migrasi skema saat start.
4. Uji pembaruan di instalasi salinan dengan plugin yang sama, bukan hanya dengan plugin bawaan.
5. Pasang versi tujuan, lalu periksa log start untuk pesan migrasi yang gagal.
6. Verifikasi bahwa dasbor utama, alert rule, dan datasource masih bisa dibaca setelah pembaruan.
7. Simpan versi sebelumnya sebagai jalur mundur sampai satu siklus alert berjalan normal.

Langkah keempat sering dilewati dan menjadi sumber kegagalan paling umum. Plugin yang tidak kompatibel biasanya tidak menggagalkan start, tetapi membuat panel kosong tanpa error yang jelas. Karena itu pengujian di salinan instalasi dengan plugin yang sama lebih berharga daripada pengujian di instalasi bersih.

Catatan rilis lengkap per versi tersedia di dokumentasi what's new Grafana, dan berkas unduhan per versi ada di halaman unduhan 13.3.0. Untuk melacak status tiap CVE, gunakan daftar security advisory repositori Grafana, karena di sanalah detail teknis dan versi yang terdampak dicantumkan.

Bagaimana memetakan CVE ke versi yang benar-benar terdampak?

Petakan lewat halaman security advisory repositori Grafana, bukan lewat judul rilis. Catatan rilis hanya mencantumkan ID CVE tanpa menjelaskan komponen mana yang tersentuh, sedangkan advisory mencantumkan versi yang terdampak dan versi yang sudah diperbaiki. Tanpa membaca advisory, tim bisa menyimpulkan sebuah CVE sudah tertutup padahal yang tertambal hanya satu bagian dari komponen terkait.

Pada rilis 27 Oktober 2026, ada sepuluh ID CVE yang tercantum di 13.3.0. Membaca satu per satu memang tidak nyaman, tetapi ada cara mempersempit: urutkan berdasarkan komponen yang dipakai. Instalasi yang tidak memakai alerting tidak perlu mengejar CVE yang hanya menyentuh jalur notifikasi, dan instalasi tanpa plugin pihak ketiga bisa menunda perbaikan yang menyentuh pemuatan plugin. Pemetaan itu memangkas jumlah yang perlu diperiksa dari sepuluh menjadi dua atau tiga.

Yang perlu dihindari justru kebiasaan sebaliknya: menganggap semua CVE sama beratnya, lalu menunda semuanya karena daftarnya panjang. Rilis patch tetap harus dipasang, tetapi urutan prioritas bisa disusun dari komponen yang benar-benar dipakai. Pada instalasi dengan alerting aktif dan datasource yang menyimpan kredensial, prioritasnya jelas berbeda dari instalasi yang hanya menampilkan satu dasbor internal.

Ada satu hal lagi yang sering terlewat: setelah patch dipasang, catat versi baru beserta tanggal pemasangan di tempat yang bisa dibaca orang lain di tim. Pada rilis yang keluar serentak dalam satu hari seperti 27 Oktober 2026, pertanyaan "kita sudah di 13.2.5 atau 13.3.0" muncul berulang, dan jawabannya hanya bisa dipercaya kalau ada catatan, bukan ingatan.

Apa risiko instalasi Grafana yang tertinggal satu cabang?

Risiko utamanya bukan kerentanan yang belum ditambal, tetapi perbedaan daftar perbaikan yang diterima. Instalasi yang bertahan di 13.1 hanya menerima tiga CVE dari rilis 27 Oktober 2026, sedangkan instalasi di 13.3 menerima sepuluh. Selisih tujuh CVE itu tidak akan pernah masuk ke cabang 13.1 karena perbaikannya menempel pada kode versi baru.

Konsekuensi kedua bersifat operasional. Setiap kali sebuah perbaikan hanya tersedia di cabang terbaru, tim yang tertinggal harus memutuskan ulang antara tetap di tempat atau upgrade. Keputusan itu tidak makin ringan kalau ditunda, karena jarak antar cabang bertambah seiring waktu dan biaya upgrade ikut naik.

Konsekuensi ketiga menyentuh dokumentasi internal. Catatan pemeliharaan yang menyebut "Grafana versi terbaru" tanpa nomor versi berhenti berguna begitu ada lebih dari satu cabang aktif. Pada bulan ketika empat versi keluar dalam satu hari, catatan seperti itu tidak bisa dipakai untuk memastikan apakah sebuah CVE sudah tertutup atau belum.

Yang bisa dilakukan tanpa upgrade besar adalah menyusun inventaris: catat versi tiap instalasi, cabangnya, dan tanggal patch terakhir. Dari daftar itu, keputusan pindah cabang bisa diambil berdasarkan instalasi mana yang paling terekspos, bukan berdasarkan rasa urgensi yang merata di semua mesin.

FAQ

Apakah 13.3.0 wajib untuk semua instalasi?

Tidak wajib, tetapi instalasi yang masih di 13.0 atau 13.1 tidak menerima tujuh CVE yang hanya ditambal di 13.3.0. Jika instalasi itu terbuka ke jaringan luas, pindah cabang sebaiknya dijadwalkan, bukan ditunda tanpa batas.

Mengapa tiga CVE muncul di keempat versi?

Karena perbaikan itu berlaku untuk semua cabang yang masih dirawat. CVE-2026-100105, CVE-2026-88858, dan CVE-2026-88967 ditambal di 13.3.0, 13.2.5, 13.1.9, dan 13.0.12 sekaligus, sehingga tidak ada cabang yang tertinggal untuk ketiganya.

Apakah patch keamanan bisa mematahkan plugin?

Bisa, meski jarang. Patch dalam cabang yang sama biasanya hanya menyentuh kode internal, tetapi plugin yang bergantung pada perilaku tertentu tetap mungkin terpengaruh. Uji di salinan instalasi dengan plugin yang sama sebelum menyentuh produksi.

Berapa lama jarak antar rilis patch Grafana?

Tidak ada jadwal tetap yang bisa dipastikan dari data rilis. Yang bisa dibaca adalah polanya: 27 Oktober 2026 keempat cabang dirilis dalam rentang 26 menit, yang menunjukkan patch disiapkan bersama ketika ada temuan keamanan.

Rekomendasi Tools & Layanan

Kalau lo mau langsung praktikkan panduan di atas, dua layanan yang gue pake sehari-hari: free trial Alibaba Cloud buat coba-coba tanpa biaya di awal, dan ECS instance 9th-gen kalau udah siap naik ke VPS production.