Microsoft September 2026 Patch Tuesday Perbaiki 966 Kerentanan, Termasuk 2 Zero-Day
Microsoft kembali merilis pembaruan keamanan bulanan melalui September 2026 Patch Tuesday, dan kali ini jumlah kerentanan yang ditangani mencapai rekor baru. Sebanyak 966 kerentanan diperbaiki dalam rilis kali ini, termasuk dua zero-day yang telah dieksploitasi dalam serangan.
Jumlah tersebut menjadikan September 2026 sebagai Patch Tuesday terbesar dalam sejarah Microsoft, melampaui 570 kerentanan yang diperbaiki pada Juli dan 400 kerentanan pada Agustus.
Dari total 966 kerentanan tersebut, Microsoft mengategorikan 105 sebagai Critical. Sebanyak 81 kerentanan Critical memungkinkan remote code execution (RCE), sementara 20 berkaitan dengan elevation of privilege, dua merupakan information disclosure, dan satu merupakan security feature bypass.
966 kerentanan diperbaiki Microsoft
Jika dikelompokkan berdasarkan jenis kerentanannya, pembaruan keamanan September 2026 mencakup:
- 438 Elevation of Privilege
- 258 Remote Code Execution
- 173 Information Disclosure
- 56 Denial of Service
- 19 Security Feature Bypass
- 16 Spoofing
Jumlah tersebut hanya menghitung kerentanan yang dirilis Microsoft sebagai bagian dari Patch Tuesday pada 8 September 2026.
Microsoft sebenarnya telah memperbaiki 204 kerentanan tambahan pada awal September, tetapi tidak dimasukkan ke dalam angka 966 tersebut. Kerentanan tersebut mencakup berbagai layanan dan produk seperti Azure AI Language, Azure Cosmos DB, Copilot Studio, Entra ID, Mariner, Microsoft Azure Active Directory B2C, Microsoft Discovery Studio, Microsoft Edge berbasis Chromium, Microsoft Fabric, dan Power Automate.
Dengan demikian, jumlah kerentanan Microsoft yang ditangani sepanjang periode pembaruan September sebenarnya lebih besar lagi.
Dua zero-day Windows telah dieksploitasi
Perhatian terbesar pada Patch Tuesday kali ini tertuju pada dua kerentanan zero-day yang menurut Microsoft telah digunakan dalam serangan.
Microsoft menggunakan istilah zero-day untuk kerentanan yang telah diketahui publik atau sudah dieksploitasi ketika belum tersedia perbaikan resmi.
CVE-2026-81963 — Windows Update Stack
Kerentanan pertama adalah CVE-2026-81963, sebuah elevation of privilege pada Windows Update Stack.
Celah ini memungkinkan attacker yang sudah memiliki akses lokal menjalankan serangan untuk memperoleh hak akses SYSTEM, tingkat hak istimewa tertinggi pada Windows.
Microsoft menjelaskan bahwa masalah tersebut berkaitan dengan improper link resolution sebelum file access, atau mekanisme link following yang tidak aman pada Windows Update Stack. Eksploitasi membutuhkan attacker yang sudah memiliki otorisasi untuk menjalankan kode secara lokal.
Kerentanan ini ditemukan oleh Romain Deperne bersama Microsoft Threat Intelligence Centre (MSTIC).
Microsoft belum mengungkapkan bagaimana CVE-2026-81963 digunakan dalam serangan yang terdeteksi.
CVE-2026-85880 — Windows ALPC
Zero-day kedua adalah CVE-2026-85880, yang memengaruhi Windows Advanced Local Procedure Call (ALPC).
Kerentanan ini disebabkan oleh heap-based buffer overflow pada Windows ALPC. Sama seperti CVE-2026-81963, eksploitasi dapat digunakan oleh attacker lokal untuk meningkatkan hak akses hingga memperoleh privilege SYSTEM.
Microsoft juga belum memberikan informasi teknis mengenai serangan yang mengeksploitasi kerentanan ini.
CVE-2026-85880 ditemukan oleh Volexity, serta Mark Kelly, David Galazin, dan Jeremy Hedges dari Proofpoint.
Karena kedua kerentanan sudah diketahui digunakan dalam serangan, pengguna dan administrator Windows sebaiknya memprioritaskan pemasangan pembaruan keamanan September 2026.
Jumlah kerentanan Microsoft terus meningkat
Besarnya Patch Tuesday September 2026 juga menunjukkan peningkatan signifikan dibandingkan beberapa bulan sebelumnya.
Pada Juli 2026, Microsoft memperbaiki 570 kerentanan, kemudian 400 kerentanan pada Agustus. Kini jumlahnya melonjak menjadi 966 dalam satu Patch Tuesday.
Salah satu faktor yang disebut berkontribusi terhadap peningkatan tersebut adalah penggunaan sistem pencarian kerentanan berbasis AI oleh Microsoft. Teknologi tersebut digunakan untuk membantu menemukan lebih banyak celah keamanan di berbagai produk dan layanan Microsoft.
Namun, peningkatan jumlah patch tidak selalu berarti seluruh kerentanan memiliki tingkat risiko yang sama. Administrator tetap perlu memprioritaskan celah yang memiliki tingkat keparahan Critical, dapat dieksploitasi dari jarak jauh, atau sudah digunakan dalam serangan aktif.
Vendor lain juga merilis pembaruan keamanan
Periode Patch Tuesday September 2026 juga diikuti sejumlah vendor lain dengan pembaruan keamanan masing-masing.
Adobe merilis perbaikan untuk zero-day kritis pada Adobe Commerce dan Magento yang dikenal sebagai StyleSmuggler. Kerentanan tersebut telah dieksploitasi untuk memasang backdoor pada website yang menggunakan platform terdampak.
Google juga merilis pembaruan keamanan Chrome untuk memperbaiki zero-day pada V8 JavaScript engine yang telah dieksploitasi dalam serangan, bersama sejumlah kerentanan lainnya.
Sementara itu, Cisco memperbarui sejumlah produknya, termasuk Cisco IOS XR, Nexus 9000 Series Switches, dan Cisco Phones. Hewlett Packard Enterprise (HPE) memperbaiki kerentanan RCE kritis pada ArubaOS-CX.
Beberapa vendor lainnya seperti ConnectWise, CrowdStrike, MikroTik, N-able, Plex, SAP, dan SonicWall juga mengeluarkan pembaruan atau mitigasi keamanan untuk berbagai produk.
Khusus SonicWall, dua zero-day pada SMA1000 dilaporkan sedang dieksploitasi dan dapat dirangkai menjadi serangan RCE.
Pengguna Windows disarankan segera memasang update
Dengan 966 kerentanan, termasuk dua zero-day yang telah dieksploitasi secara aktif, Patch Tuesday September 2026 menjadi salah satu pembaruan keamanan Microsoft yang paling penting tahun ini.
Pengguna Windows sebaiknya segera memeriksa Windows Update dan memasang pembaruan keamanan yang tersedia. Administrator perusahaan juga perlu menguji dan menerapkan patch pada perangkat yang dikelola, terutama sistem yang terhubung langsung ke jaringan dan perangkat yang digunakan untuk menjalankan layanan penting.
Dua zero-day pada Windows Update Stack dan Windows ALPC menjadi prioritas utama karena keduanya telah digunakan dalam serangan untuk memperoleh SYSTEM privileges.
Selain memasang patch, organisasi sebaiknya tetap memantau aktivitas mencurigakan setelah pembaruan diterapkan, terutama pada endpoint yang sebelumnya belum mendapatkan patch keamanan terbaru.
Sumber: Microsoft
