Microsoft merilis pembaruan keamanan Patch Tuesday November 2026 yang mencakup 1.235 kerentanan. Salah satu prioritasnya adalah CVE-2026-124194 pada Outlook, celah spoofing yang sudah dieksploitasi untuk membocorkan informasi autentikasi NTLM. Rilis ini juga mencakup 66 kerentanan berperingkat Critical.
Zero-day Outlook memerlukan pengguna membuka berkas
Menurut Microsoft, pelaku dapat mengirim berkas pesan yang dirancang khusus dan membujuk pengguna membukanya di Outlook yang rentan. Aplikasi kemudian dapat tersambung ke lokasi jaringan milik penyerang tanpa peringatan konten eksternal yang biasanya muncul. Eksploitasi memerlukan interaksi pengguna dan konektivitas jaringan.
Informasi autentikasi yang terekspos berpotensi dipakai untuk menyamar sebagai pengguna. Administrator perlu memprioritaskan pembaruan Outlook yang sesuai dengan versi Office terpasang.
Ratusan perbaikan mencakup Windows dan Edge
Dari total kerentanan, sekitar 639 berkaitan dengan Windows atau komponennya. Pengelompokan laporan mencakup 536 eskalasi hak akses, 296 eksekusi kode jarak jauh, 157 pengungkapan informasi, 46 gangguan layanan, 27 bypass fitur keamanan, 22 spoofing, dan 142 kerentanan Edge berbasis Chromium.
Jumlah dalam tiap kategori bersifat perkiraan dan tidak perlu dibaca sebagai kategori yang saling terpisah. Total 1.235 juga tidak mencakup 108 celah yang sudah diperbaiki lebih awal pada November.
Pembaruan Windows tersedia melalui Windows Update
Rilis Windows 11 pada hari yang sama mencakup KB5132061 untuk versi 26H2, 25H2, serta 24H2 Enterprise dan Education. Nomor build masing-masing adalah 26300.9974, 26200.9974, dan 26100.9974. Windows 11 23H2 memperoleh KB5131087 dengan build 22631.7711.
Microsoft menyatakan pembaruan November menjadi rilis keamanan terakhir bagi Windows 11 23H2 Enterprise dan Education. Organisasi yang masih menggunakannya perlu merencanakan peningkatan ke versi yang didukung. Pembaruan sistem dapat diperiksa melalui Settings dan Windows Update, sedangkan paket serta panduan produk tersedia melalui kanal pembaruan Microsoft.
Sumber: Microsoft – CVE-2026-124194: Microsoft Outlook Spoofing Vulnerability
