Microsoft pada hari Selasa resmi meluncurkan pembaruan keamanan untuk menangani sebanyak 1.259 kerentanan di seluruh jajaran perangkat lunaknya, menandai bulan kedua secara beruntun di mana volume tambalan menembus angka seribu masalah.
Pembaruan kali ini mencakup 726 kerentanan pada sistem operasi Windows, 174 pada rangkaian Office, 61 pada Developer Tools, 59 pada SQL Server, 53 pada Developer Tools lainnya, serta 27 pada SharePoint Server. Paket perbaikan tersebut juga menyertakan 165 pengenal CVE yang tidak diterbitkan langsung oleh pihak Microsoft. Lebih dari 500 celah keamanan berkaitan erat dengan eskalasi hak istimewa, yang kemudian disusul oleh ancaman eksekusi kode jarak jauh dan masalah kebocoran data rahasia.
Dengan hadirnya putaran perbaikan teranyar ini, Microsoft tercatat telah menyelesaikan lebih dari 5.100 CVE sepanjang tahun berjalan ini saja, sebagaimana diungkapkan oleh Satnam Narang, yang menjabat sebagai senior staff research engineer di Tenable.
Dari ribuan celah tersebut, sebuah kerentanan dengan tingkat keparahan moderat pada Microsoft Outlook (CVE-2026-124194, skor CVSS: 6.5) telah ditandai oleh Microsoft karena terbukti sedang aktif dieksploitasi di dunia maya.
"Product UI does not warn users of unsafe actions in Microsoft Office Outlook allows an unauthorized attacker to perform spoofing over a network," jelas pihak Microsoft dalam dokumen anjuran keamanannya.
Seorang penyerang tanpa autentikasi dapat mengirimkan berkas pesan yang dirancang secara khusus lalu memikat korban untuk membukanya menggunakan versi Microsoft Outlook yang terdampak.
Tindakan tersebut pada gilirannya dapat memaksa aplikasi Outlook terhubung ke lokasi jaringan yang dikuasai penyerang tanpa memunculkan peringatan konten eksternal seperti biasanya, sehingga berpotensi mengekspos informasi autentikasi sensitif, semisal hash NTLMv2, yang dapat dimanfaatkan guna menyamar sebagai pengguna sah.
Microsoft menegaskan bahwa keberhasilan eksploitasi celah ini memerlukan ketersediaan koneksi jaringan serta interaksi langsung dari korban. Raksasa teknologi itu memberikan apresiasi kepada seorang peneliti bernama Nono serta Benoît Sevens dari Anthropic (yang menggunakan bantuan Claude) atas penemuan serta pelaporan masalah ini.
"Email is the easiest door into any company, and this flaw turns one opened file into a stolen identity," ungkap Jack Bicer, director of vulnerability research di Action1. "A captured hash can let an attacker sign in as the victim, read their data, and move to other systems they can reach."
"The Moderate label undersells this one. Attackers are already exploiting it, it needs only one click on an email file, and it hits Outlook, which nearly every organization runs. A stolen hash can open doors far beyond the inbox," imbuh Jack Bicer menjelaskan bahaya tersembunyi dari celah tersebut.
Meskipun demikian, perusahaan yang bermarkas di Redmond tersebut belum mengaitkan aktivitas eksploitasi ini ke kelompok peretas spesifik tertentu ataupun memberikan rincian teknis mengenai metode eksploitasi celah di alam liar. Pemberitahuan keamanan itu juga tidak menjelaskan apakah penemuan kerentanan terjadi sebelum atau sesudah para pelaku kejahatan siber mulai melancarkan aksinya.
Perkembangan genting ini mendorong Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) untuk memasukkan kerentanan tersebut ke dalam katalog Known Exploited Vulnerabilities (KEV) mereka, serta mewajibkan instansi federal menerapkan tambalan sebelum 24 November 2026.
Beberapa kerentanan penting lainnya yang turut diperbaiki mencakup deretan celah eksekusi kode jarak jauh yang memengaruhi Windows Search (CVE-2026-116928), Lightweight Directory Access Protocol (CVE-2026-119958), Windows Schannel (CVE-2026-119952), Windows Virtual Filtering Platform (CVE-2026-95962), dan Windows Xbox Live Networking Service (CVE-2026-112967), serta satu celah eskalasi hak istimewa pada Azure OpenAI (CVE-2026-119990).
"Most security teams haven't quite recovered from the last month of bumper-to-bumper critical vulnerabilities, emergency patches, and '2shell'-branded everything, and we're yet again at another Patch Tuesday," kata Jake Knott, head of threat intelligence di watchTowr.
"Teams are really starting to feel the strain of working out 'what actually matters?' when there is fire after fire every day demanding immediate attention. Start with what you actually have exposed to the Internet, then what’s already being exploited in the wild, and only then everything else. Before going into panic mode, check whether you even use the vulnerable component, or meet the prerequisites for exploitation," pungkasnya memberi saran penanganan.
