Microsoft Rilis Patch Tuesday Oktober 2026: Tambal Rekor 1.411 Celah Keamanan dan 3 Zero-Day
Microsoft resmi menggulirkan pembaruan keamanan rutin Patch Tuesday untuk periode Oktober 2026. Rilis kali ini mencetak rekor baru dalam sejarah perusahaan dengan menambal total 1.411 celah keamanan di berbagai lini produknya, termasuk satu kerentanan zero-day yang telah dieksploitasi secara aktif serta dua celah zero-day lainnya yang telah diungkap ke publik sebelumnya.
Dari ribuan celah yang diperbaiki bulan ini, terdapat 70 kerentanan yang dikategorikan berstatus kritis (Critical), yang terdiri dari 57 celah Remote Code Execution (RCE), 11 celah Elevation of Privilege (EoP), dan 2 celah spoofing. Secara keseluruhan, distribusi perbaikan kerentanan pada Patch Tuesday Oktober 2026 didominasi oleh 677 celah Elevation of Privilege dan 317 celah Remote Code Execution. Selain itu, pembaruan ini juga mencakup perbaikan untuk 254 celah Information Disclosure, 73 celah Denial of Service (DoS), 40 celah Security Feature Bypass, serta 28 kerentanan Spoofing.
Perlu dicatat bahwa angka 1.411 tersebut murni menghitung kerentanan yang ditambal tepat pada jadwal rilis Patch Tuesday tanggal 13 Oktober 2026. Jumlah ini belum termasuk 348 celah keamanan tambahan yang sudah lebih dulu diperbaiki oleh Microsoft sejak awal bulan Oktober pada berbagai layanan cloud dan enterprise, seperti Azure API Center, Azure App Service, Azure Event Grid, Azure SRE Agent, distribusi Linux Mariner, Microsoft Bookings, Microsoft Dataverse, Microsoft Exchange Server, hingga Microsoft Partner Center.
Lonjakan masif pada jumlah temuan yang diperbaiki bulan ini tidak lepas dari langkah strategis Microsoft yang terus mengandalkan platform kecerdasan buatan (Artificial Intelligence) secara intensif untuk mendeteksi, mengaudit, dan memitigasi celah keamanan di seluruh kode produk mereka.
Bertepatan dengan rilis Patch Tuesday kali ini, Microsoft juga mengumumkan bahwa sistem operasi Windows 11 versi 24H2 edisi Home dan Pro, bersama dengan Windows 10 Enterprise LTSB 2016, telah resmi mencapai batas akhir dukungan (end of support). Pembaruan keamanan Oktober 2026 menjadi tambalan terakhir bagi sistem operasi tersebut, sehingga perangkat yang masih menjalankannya tidak akan lagi menerima pembaruan keamanan bulanan di masa mendatang. Sebelumnya, Microsoft juga telah mengingatkan kalangan korporasi bahwa dukungan untuk Windows 11 23H2 edisi Enterprise, Education, dan IoT Enterprise akan segera berakhir pada bulan depan.
Rincian Tiga Kerentanan Zero-Day yang Diperbaiki
Dalam klasifikasi keamanannya, Microsoft mengategorikan sebuah celah sebagai zero-day apabila kerentanan tersebut telah diungkapkan secara terbuka ke publik atau sudah dieksploitasi secara aktif di dunia nyata sebelum perbaikan resminya tersedia.
Fokus utama pada pembaruan bulan ini tertuju pada CVE-2026-96951, sebuah celah Windows Shell Security Feature Bypass yang telah dieksploitasi secara aktif oleh peretas. Celah ini memungkinkan penyerang tanpa autentikasi untuk melewati fitur perlindungan Mark of the Web (MotW) melalui jaringan. Dalam penjelasan teknisnya, Microsoft menyebutkan bahwa kerentanan ini dipicu oleh kegagalan netralisasi elemen khusus dalam suatu perintah (command injection) di dalam komponen Windows Shell. Hingga saat ini, Microsoft belum membagikan rincian lebih lanjut mengenai bagaimana threat actor mengeksploitasi celah tersebut di lapangan maupun pihak yang pertama kali melaporkannya.
Sementara itu, kerentanan zero-day kedua yang telah diungkap ke publik adalah CVE-2026-108398, yakni celah Security Feature Bypass pada komponen .NET Framework yang ditemukan oleh peneliti keamanan James Forshaw dari Google Project Zero. Kerentanan yang disebabkan oleh untrusted search path ini memungkinkan penyerang lokal yang telah terautentikasi untuk memotong kebijakan pembatasan Windows Defender Application Control (WDAC) dan menjalankan aplikasi tidak sah tanpa memerlukan interaksi pengguna. Penyerang dapat menempatkan assembly .NET yang telah dimodifikasi secara khusus pada sistem target dan mendaftarkannya agar dimuat oleh protected process, sehingga memungkinkan eksekusi kode di dalam proses yang seharusnya terlindungi tersebut.
Celah zero-day ketiga yang turut ditambal adalah CVE-2026-92707, sebuah kerentanan Denial of Service (DoS) pada pustaka MessagePack-CSharp. Masalah ini dipicu oleh alokasi memori sekuensial yang tidak terkontrol dengan baik di dalam lingkungan .NET, yang membuka celah bagi penyerang jarak jauh tanpa hak akses untuk melumpuhkan layanan (deny service) melalui jaringan.
Pengenalan Metode Baru “Risk Cohorts” untuk Prioritas Patching
Menghadapi rekor jumlah kerentanan yang sangat besar pada bulan ini, Microsoft turut memperkenalkan pendekatan eksperimental baru bernama “risk cohorts” (kelompok risiko). Metode ini dirancang untuk membantu tim keamanan dan administrator IT di berbagai organisasi dalam menyusun skala prioritas penerapan patch dengan cara mengelompokkan celah-celah keamanan yang saling berkaitan ke dalam kategori fungsional tertentu.
Untuk periode Oktober 2026, Microsoft memetakan ribuan celah tersebut ke dalam 15 risk cohorts utama. Lima kelompok terbesar di antaranya mencakup 136 kerentanan yang berdampak pada filesystem, ruang penyimpanan (storage), dan sistem pencadangan Windows; 135 kerentanan yang melibatkan dokumen Microsoft Office dan aplikasi mail client; 131 kerentanan pada pemrosesan grafis, media, dan konten Windows; 109 kerentanan yang berkaitan dengan batasan hak akses (privilege boundaries) pada core dan kernel Windows; serta 103 kerentanan yang memengaruhi layanan instalasi, deployment, dan pembaruan Windows.
Microsoft menegaskan bahwa pengelompokan risk cohorts ini tidak serta-merta menunjukkan celah mana yang paling berbahaya secara absolut. Tingkat risiko sesungguhnya di lapangan tetap bergantung pada apakah celah tersebut sedang dieksploitasi secara aktif, tingkat keparahannya (severity), serta bagaimana suatu organisasi mengonfigurasi perangkat lunak yang terdampak. Metode ini dihadirkan sebagai panduan tambahan untuk mempermudah prioritas patching, bukan untuk menggantikan rekomendasi pembaruan standar yang sudah ada.
Gelombang Pembaruan Keamanan dari Vendor Teknologi Lain
Siklus Patch Tuesday Oktober 2026 juga diiringi oleh rilis pembaruan keamanan penting dari berbagai raksasa teknologi global lainnya. Adobe merilis tambalan keamanan untuk sejumlah produk utamanya, meliputi Adobe Commerce, Substance 3D Samples, ColdFusion, Photoshop, Dimension, dan komponen Framework. Sementara itu, Atlassian menambal celah kritis CVE-2026-21589 pada lini produk Data Center self-hosted mereka—termasuk Confluence, Jira, dan Bitbucket—yang langsung menjadi sasaran eksploitasi peretas tak lama setelah kode Proof-of-Concept (PoC) dipublikasikan.
Dari sektor infrastruktur jaringan dan keamanan, Cisco memperbaiki celah kritis pada sistem operasi jaringan pusat data NX-OS yang berisiko memberikan akses eksekusi kode arbitrer tingkat root pada perangkat switch Nexus. Citrix juga merilis pembaruan untuk NetScaler ADC dan NetScaler Gateway guna menutup celah CVE-2026-88779 yang telah dieksploitasi dalam serangan zero-day. Langkah serupa diambil oleh Fortinet yang menambal celah kritis FortiMail (CVE-2026-104286) dan Ivanti yang memperbaiki celah zero-day aktif pada perangkat remote access gateway Ivanti Connect Secure (ICS). Selain itu, SonicWall turut merilis perbaikan untuk celah SSRF kritis pada perangkat SMA1000 yang langsung dieksploitasi hanya dalam waktu dua hari setelah terungkap.
Di ranah pengembangan perangkat lunak dan manajemen enterprise, Docker menambal celah kritis di Docker Hub yang memungkinkan penyamaran identitas pengguna, sedangkan GitLab memperbaiki kerentanan kritis pada komponen AI Gateway dan CI/CD Regular Expression Compiler. Dell turut mengamankan alat deployment berbasis command-line interface (CLI) System Update (DSU) serta Container Storage Modules (CSM). Tak ketinggalan, Kiteworks menambal 126 kerentanan termasuk celah maximum-severity pada solusi Email Protection Gateway (EPG), Progress Software memperbaiki celah kritis pada MarkLogic Server, dan SAP menutup 20 celah keamanan yang mencakup kerentanan OAuth2 SSRF berstatus maximum-severity pada Cloud SDK for Python.
Sumber: Microsoft Security Update Guide
