Microsoft Patch Tuesday Oktober 2026 Menyelesaikan 1.411 Kerentanan, Terkini dengan 3 Zero-Day

Pada Patch Tuesday Oktober 2026, Microsoft meluncurkan pembaruan keamanan yang memperbaiki 1.411 kerentanan, jumlah tertinggi dalam sejarah perusahaan. Dari jumlah tersebut, terdapat tiga kerentanan Zero-Day, di mana satu di antaranya telah dipakai penyerang secara nyata. Kerentanan kritis yang diperbaiki mencapai 70 buah, dibagi menjadi 57 kerentanan Remote Code Execution (RCE), 11 kerentanan Elevation of Privilege, dan 2 kerentanan Spoofing. Secara keseluruhan, Elevation of Privilege menjadi kategori terbanyak dengan sekitar 677 kerentanan, diikuti oleh RCE sebesar 317 kerentanan, Information Disclosure 254 kerentanan, Denial of Service 73 kerentanan, Security Feature Bypass 40 kerentanan, dan Spoofing 28 kerentanan. Angka tersebut tidak mencakup 348 kerentanan yang diperbaiki sebelumnya pada bulan Oktober yang sama, meliputi layanan seperti Azure App Service, Azure Event Grid, Azure SRE Agent, Microsoft Dataverse, dan Microsoft Exchange Server. Zero-Day yang dimanfaatkan penyerang adalah CVE-2026-96951, sebuah kerentanan Security Feature Bypass pada Windows Shell yang terjadi akibat penanganan elemen khusus dalam perintah yang tidak tepat (command injection).

Exploit ini memungkinkan penyerang yang tidak berwenang melewati mekanisme keamanan Mark of the Web melalui jaringan. Microsoft belum mengungkapkan detail penggunaan exploit dan pelaporannya. Zero-Day lain yang diungkapkan publik adalah CVE-2026-108398, sebuah kerentanan untrusted search path pada .NET Framework yang memungkinkan penyerang yang sudah terautentikasi menambahkan .NET assembly khusus ke sistem dan mendaftarkan proses protected. Exploit ini memungkinkan bypass kontrol Windows Defender Application Control (WDAC) dan menjalankan kode di dalam protected process tanpa interaksi pengguna. Kerentanan ini ditemukan oleh tim Google Project Zero. Kerentanan ketiga adalah CVE-2026-92707, sebuah kerentanan Denial of Service pada MessagePack-CSharp yang disebabkan oleh manipulasi penanganan memori berurutan yang tidak tepat. Exploit ini memungkinkan penyerang mematikan layanan melalui jaringan. Patch ini juga menjadi pembaruan keamanan terakhir untuk Windows 11 versi 24H2 (Home dan Pro) serta Windows 10 Enterprise LTSB 2016, yang akan mencapai akhir dukungan pada 13 Oktober 2026. Versi Windows 11 23H2 untuk Enterprise, Education, dan IoT Enterprise tidak akan menerima pembaruan keamanan sejak November 2026. Organisasi yang masih menggunakan versi tersebut dianjurkan untuk segera merencanakan upgrade.