Microsoft pada hari Selasa resmi meluncurkan pembaruan keamanan guna menambal sebanyak 1.259 kerentanan di seluruh jajaran perangkat lunaknya. Peristiwa ini menandai bulan kedua berturut-turut di mana volume perbaikan tambalan dari perusahaan teknologi tersebut berhasil menembus angka lebih dari 1.000 celah keamanan.
Rincian pembaruan tersebut mencakup 726 masalah pada sistem operasi Windows, 174 pada paket Office, 61 pada Developer Tools, 59 pada SQL Server, 53 pada Developer Tools tambahan, serta 27 pada SharePoint Server. Paket pembaruan ini turut memasukkan 165 pengidentifikasi CVE dari pihak non-Microsoft. Lebih dari 500 kerentanan terkait langsung dengan eskalasi hak istimewa (elevation of privilege), disusul oleh celah eksekusi kode jarak jauh (remote code execution) dan pembocoran informasi penting.
Melalui penyelesaian putaran tambalan terkini ini, Microsoft tercatat telah memperbaiki lebih dari 5.100 CVE sepanjang tahun berjalan ini saja, sebagaimana diungkapkan oleh Satnam Narang selaku senior staff research engineer dari Tenable.
Di antara ribuan celah itu, sebuah kelemahan dengan tingkat keparahan sedang (Moderate) pada Microsoft Outlook (CVE-2026-124194, skor CVSS: 6.5) telah secara resmi ditandai oleh Microsoft karena ditemukan aktif dieksploitasi di dunia nyata.
"Antarmuka produk yang tidak memperingatkan pengguna terhadap tindakan berbahaya di Microsoft Office Outlook memungkinkan pelaku serangan tanpa izin untuk melancarkan spoofing melalui jaringan," jelas pihak Microsoft dalam dokumen penasihat keamanannya.
Peretas yang belum terautentikasi dapat mengirimkan berkas pesan yang dirancang secara khusus, lalu memanipulasi serta meyakinkan target untuk membuka berkas tersebut menggunakan versi Microsoft Outlook yang terdampak celah ini.
Kondisi ini kemudian dapat memaksa aplikasi Outlook tersambung langsung ke lokasi jaringan yang sepenuhnya dikendalikan pelaku tanpa menampilkan peringatan konten eksternal seperti biasanya. Aksi ini berpotensi besar membocorkan rincian informasi autentikasi, seperti data hash NTLMv2, yang nantinya dapat disalahgunakan penyerang untuk menyamar sebagai korban yang sah.
Microsoft menegaskan bahwa keberhasilan dari eksploitasi ini memerlukan adanya konektivitas jaringan aktif serta interaksi dari pengguna. Raksasa teknologi tersebut menyampaikan penghargaan kepada seorang peneliti bernama Nono bersama Benoît Sevens dari Anthropic (yang memanfaatkan Claude) atas penemuan sekaligus pelaporan celah tersebut.
"Email merupakan pintu masuk paling mudah ke perusahaan mana pun, dan celah ini mengubah satu berkas yang dibuka menjadi pencurian identitas," tutur Jack Bicer, direktur riset kerentanan di Action1. "Hash yang berhasil direbut dapat memungkinkan penyerang masuk sebagai korban, membaca seluruh data mereka, dan berpindah ke sistem lain yang bisa dijangkau."
"Label Moderate meremehkan ancaman ini. Para peretas sudah mengeksploitasinya, celah ini hanya memerlukan satu klik pada dokumen email, dan menyerang Outlook yang digunakan hampir setiap organisasi. Hash curian mampu membuka pintu jauh melampaui kotak masuk."
Kendati demikian, pihak Redmond belum mengaitkan aktivitas eksploitasi ini kepada kelompok ancaman tertentu ataupun menyajikan detail teknis mendalam mengenai bagaimana kerentanan tersebut dieksploitasi di lapangan. Penasihat keamanan tersebut juga tidak memperjelas apakah temuan peneliti muncul sebelum atau sesudah peretas mulai melancarkan eksploitasi celah itu.
Perkembangan genting ini mendorong Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) untuk segera memasukkan kerentanan Outlook tersebut ke dalam katalog Known Exploited Vulnerabilities (KEV), dengan kewajiban bagi seluruh badan federal AS untuk menerapkan tambalan paling lambat tanggal 24 November 2026.
Beberapa kerentanan penting lainnya mencakup sejumlah celah eksekusi kode jarak jauh yang memengaruhi komponen Windows Search (CVE-2026-116928), Lightweight Directory Access Protocol (CVE-2026-119958), Windows Schannel (CVE-2026-119952), Windows Virtual Filtering Platform (CVE-2026-95962), dan Windows Xbox Live Networking Service (CVE-2026-112967), beserta masalah eskalasi hak istimewa pada platform Azure OpenAI (CVE-2026-119990).
"Sebagian besar tim keamanan siber belum sepenuhnya pulih dari bulan lalu yang penuh kerentanan kritis, pembaruan darurat, dan segalanya yang berlabel ‘2shell’, dan sekarang kita sudah berada di Patch Tuesday berikutnya," ungkap Jake Knott, pimpinan threat intelligence pada watchTowr.
"Setiap tim benar-benar mulai merasakan tekanan luar biasa untuk memilah ‘apa yang sebenarnya penting?’ saat kebakaran demi kebakaran terjadi setiap hari dan menuntut perhatian segera. Mulailah dari apa yang benar-benar Anda ekspos ke Internet, kemudian apa yang sudah aktif dieksploitasi di luar sana, dan barulah sisanya. Sebelum jatuh ke mode panik, periksa apakah Anda memang menggunakan komponen yang rentan tersebut, atau apakah Anda memenuhi prasyarat untuk eksploitasi."
About the Author
