Patch Tuesday Oktober 2025: Microsoft Tambal 6 Zero-Day dan 172 Kerentanan

Microsoft merilis pembaruan keamanan bulanan untuk Oktober 2025 dengan cakupan 172 kerentanan, termasuk 6 zero-day dan 8 kelemahan berstatus “Critical”. Rangkaian tambalan ini menutup celah pada beragam komponen Windows, Office, Azure, hingga layanan pendukung lain, serta menandai Patch Tuesday terakhir bagi Windows 10 sebelum berakhirnya dukungan gratis.

Sorotan Utama

• Total kerentanan: 172
  • 80 Elevation of Privilege (EoP)
  • 11 Security Feature Bypass
  • 31 Remote Code Execution (RCE)
  • 28 Information Disclosure
  • 11 Denial of Service (DoS)
  • 10 Spoofing
• Kritis: 8 kelemahan (5 RCE, 3 EoP)
• Windows 10 EOS: Ini Patch Tuesday terakhir dengan pembaruan keamanan gratis; selanjutnya pengguna dapat masuk program Extended Security Updates (ESU).

Enam Zero-Day yang Ditangani

Dieksploitasi atau telah diungkap publik sebelum patch tersedia:

1. CVE-2025-24990 – Windows Agere Modem Driver (EoP)
   Microsoft menghapus driver ltmdm64.sys yang dapat disalahgunakan untuk eskalasi hak akses. Dampaknya, perangkat fax modem yang bergantung pada driver ini tidak lagi berfungsi di Windows.
2. CVE-2025-59230 – Windows Remote Access Connection Manager (EoP)
   Improper access control memungkinkan penyerang lokal meningkatkan hak akses hingga SYSTEM setelah upaya eksploitasi tertentu.
3. CVE-2025-47827 – Secure Boot bypass di IGEL OS sebelum versi 11
   Validasi tanda tangan kriptografis yang lemah pada modul flash driver membuka peluang root filesystem tak tervalidasi dimuat, yang berimplikasi pada rantai kepercayaan Secure Boot.

Diungkap publik (publicly disclosed) dan ditambal dalam rilis ini:

4. CVE-2025-0033 – AMD SEV-SNP RMP Initialization (ACC/Azure)
   Kondisi race saat inisialisasi Reverse Map Table dapat memengaruhi integritas memori guest. Eksploitasi membutuhkan kendali istimewa di hypervisor.
5. CVE-2025-24052 – Windows Agere Modem Driver (EoP)
   Kelemahan serupa dengan CVE-2025-24990; berdampak pada semua versi Windows meski modem tidak sedang digunakan.
6. CVE-2025-2884 – TCG TPM 2.0 (Out-of-Bounds Read)
   Kekeliruan validasi skema tanda tangan pada reference implementation dapat menyebabkan information disclosure atau DoS pada TPM.

Komponen dan Produk yang Banyak Tersentuh Patch

• Windows Platform & Kernel: autentikasi, NTFS, ReFS (termasuk layanan deduplikasi), DWM/Graphics, WinSock, WinRM/PowerShell, Bluetooth, NCSI, layanan sesi (LSM), PrintWorkflowUserSvc, dan SMB (klien/server).
• Office & SharePoint: sejumlah CVE RCE pada Word, Excel, PowerPoint, Visio, dan SharePoint.
• Azure & Layanan Terkait: Entra ID (EoP), Monitor/Agent, PlayFab, Connected Machine Agent, Confidential Container Instances.
• Server & Infrastruktur: WSUS (RCE), Remote Desktop (RCE/SFB), IIS Inbox COM Objects (RCE).
• Keamanan Perangkat Keras/Enclave: VBS Enclave (EoP), TPM 2.0 (OOB Read).

Konteks Windows 10: ESU dan Transisi

Seiring akhir dukungan Windows 10 per 14 Oktober 2025, ini adalah siklus Patch Tuesday terakhir tanpa biaya.

• Konsumen dapat membeli ESU 1 tahun; enterprise hingga 3 tahun.
• Pertimbangkan migrasi ke Windows 11 atau opsi Windows 365 untuk keberlanjutan patch rutin.

Catatan Tambahan Ekosistem

Vendor lain juga merilis/menyampaikan pembaruan atau peringatan di Oktober 2025, antara lain: Adobe, Cisco, Draytek (pre-auth RCE Vigor), Gladinet (CentreStack zero-day), Ivanti, Oracle (E-Business Suite), Redis (RCE), SAP (Netweaver RCE), Synacor (Zimbra zero-day).

Rekomendasi Implementasi untuk Admin TI

1. Prioritaskan patch kritis dan zero-day pada sistem berpaparan internet, server otentikasi, WSUS, RDP, dan beban kerja high-risk.
2. Validasi dampak penghapusan ltmdm64.sys terhadap perangkat fax modem; siapkan rencana dekomisioning atau alternatif.
3. Uji regresi terstruktur untuk workload Office/SharePoint, layanan SMB, dan komponen grafis/DWM.
4. Konsolidasi kebijakan hardening: audit hak istimewa lokal, pemantauan RDP, isolasi beban kerja sensitif (VBS/TPM), serta penerapan attack surface reduction.

Sumber: BleepingComputer