Microsoft baru saja mengeluarkan pembaruan keamanan bulanan terbesarnya, yang dikenal sebagai “Patch Tuesday”, untuk bulan September. Kali ini, perusahaan raksasa teknologi tersebut berhasil memperbaiki hampir 1.000 kerentanan, sebuah angka yang mendekati dua kali lipat dari rekor sebelumnya di bulan Juli. Yang lebih mengkhawatirkan, dua dari celah keamanan yang ditangani bulan ini adalah kerentanan “zero-day” yang sudah dieksploitasi di lapangan.
Peningkatan drastis dalam jumlah kerentanan yang ditangani ini sebagian besar disebabkan oleh kemajuan kecerdasan buatan (AI). AI tidak hanya memudahkan para pelaku kejahatan untuk mengembangkan alat eksploitasi, tetapi juga memungkinkan para pengembang untuk menemukan dan memperbaiki kerentanan dengan lebih cepat. Hal ini mengindikasikan bahwa pembaruan keamanan yang besar dengan siklus rilis yang lebih pendek kemungkinan akan menjadi tren di masa depan, dengan tujuan memperpendek waktu bagi peretas untuk memanfaatkan celah keamanan.
Pembaruan “Patch Tuesday” Microsoft biasanya dirilis sekitar pukul 10 pagi Waktu Pasifik (PT) pada Selasa kedua setiap bulan. Pemasangan pembaruan keamanan segera setelah tersedia selalu penting, namun kini menjadi lebih krusial mengingat banyaknya celah yang terbuka untuk dieksploitasi. Pengguna PC umumnya akan menerima pembaruan ini secara otomatis, namun statusnya dapat diperiksa melalui Start > Settings > Windows Update > Check for Windows updates.
Secara rinci, pembaruan “Patch Tuesday” bulan September ini mengatasi 966 celah keamanan. Sebanyak 438 di antaranya adalah kerentanan peningkatan hak istimewa (elevation-of-privilege), 19 kerentanan bypass fitur keamanan (security feature bypass), 258 kerentanan eksekusi kode jarak jauh (remote-code-execution), 173 kerentanan pengungkapan informasi (information disclosure), 16 kerentanan spoofing (spoofing), dan 56 kerentanan penolakan layanan (denial-of-service). Angka-angka ini belum termasuk 204 kerentanan lain yang ditemukan di produk Microsoft lainnya dan telah ditambal di awal bulan ini.
Salah satu kerentanan “zero-day” yang ditangani adalah kerentanan peningkatan hak istimewa pada Windows Update Stack, yang diidentifikasi sebagai CVE-2026-81963. Celah ini memungkinkan penyerang untuk mendapatkan hak istimewa SYSTEM melalui resolusi tautan yang tidak tepat sebelum akses file. Penemuan bug ini diatribusikan kepada Romain Deperne dan Microsoft Threat Intelligence Centre.
Kerentanan “zero-day” kedua yang juga merupakan kerentanan peningkatan hak istimewa, teridentifikasi sebagai CVE-2026-85880. Celah ini terdapat pada Windows Advanced Local Procedure, di mana penyerang dapat mengeksekusi kode dalam AppContainer dengan hak istimewa rendah, dan kemudian melarikan diri dari sandbox untuk mendapatkan hak istimewa SYSTEM secara lokal. Bug ini ditemukan oleh Volexity, bersama dengan Mark Kelly, David Galazin, dan Jeremy Hedges dari Proofpoint. Microsoft belum memberikan detail mengenai bagaimana kedua kerentanan “zero-day” ini dieksploitasi di lapangan.
