Koinons — Microsoft merilis pembaruan keamanan September 2026 dengan jumlah perbaikan yang mencetak rekor. Berdasarkan penghitungan SecurityWeek, Microsoft menutup 974 kerentanan (CVE) di berbagai produknya, termasuk dua celah zero-day yang telah dieksploitasi di dunia nyata.

Besarnya jumlah celah yang ditutup membuat September menjadi salah satu periode Patch Tuesday terbesar yang pernah dirilis Microsoft.
Selain dua zero-day yang sudah dieksploitasi, pembaruan kali ini juga mencakup 20 kerentanan yang berpotensi wormable, yaitu celah yang memungkinkan kode berbahaya dieksekusi tanpa autentikasi atau interaksi pengguna dalam kondisi tertentu.

Dua Zero-Day Sudah Dieksploitasi

Dua kerentanan yang paling mendapat perhatian adalah CVE-2026-81963 dan CVE-2026-85880.
CVE-2026-81963 merupakan kerentanan elevation of privilege pada Windows Update Stack. Microsoft menyebut celah tersebut telah dieksploitasi dan dapat memungkinkan penyerang yang sudah memiliki akses tertentu untuk meningkatkan hak akses hingga memperoleh hak SYSTEM pada komputer yang menjadi target.

Sementara itu, CVE-2026-85880 merupakan kerentanan heap-based buffer overflow pada Windows Advanced Local Procedure Call (ALPC).

Microsoft menjelaskan bahwa penyerang yang dapat menjalankan kode di lingkungan AppContainer dengan hak akses rendah dapat mengeksploitasi celah tersebut untuk keluar dari sandbox dan meningkatkan hak akses pada sistem. Eksploitasi tersebut tidak membutuhkan interaksi tambahan dari pengguna.

Kedua celah tersebut telah dimasukkan Microsoft ke dalam pembaruan keamanan September.

20 Celah Berpotensi Wormable

Jumlah kerentanan yang diperbaiki bukan satu-satunya hal yang menjadi perhatian.
Menurut analisis Dustin Childs dari Zero Day Initiative yang dikutip SecurityWeek, 20 kerentanan dalam pembaruan September dapat dikategorikan sebagai berpotensi wormable. Celah dalam kategori ini memungkinkan eksekusi kode jarak jauh tanpa autentikasi atau interaksi pengguna.

Karakteristik tersebut membuat sebuah kerentanan berpotensi menyebar dari satu sistem ke sistem lain dengan lebih mudah apabila dieksploitasi dalam kondisi yang tepat.

Meski demikian, jumlah 20 tersebut tidak berarti seluruh kerentanan akan otomatis berubah menjadi serangan worm di dunia nyata. Klasifikasi tersebut mengacu pada karakteristik teknis kerentanannya.

Ratusan Celah Berasal dari Berbagai Produk Microsoft

Pembaruan September tidak hanya menyentuh Windows.
SecurityWeek mencatat sejumlah kerentanan penting pada berbagai produk Microsoft, termasuk Exchange Server, SharePoint, SQL Server, Remote Desktop Services, serta komponen Windows lainnya. Beberapa di antaranya merupakan kerentanan remote code execution atau RCE.

BleepingComputer mencatat bahwa dalam penghitungan Patch Tuesday mereka terdapat 105 kerentanan berstatus Critical, dengan 81 di antaranya merupakan kerentanan RCE. Secara keseluruhan, mereka menghitung 966 kerentanan dalam rilis Patch Tuesday September.

Perbedaan angka 966 dan 974 berasal dari metode penghitungan yang berbeda. BleepingComputer menghitung kerentanan yang dirilis Microsoft pada Patch Tuesday 8 September, sementara SecurityWeek melaporkan total 974 CVE dalam pembaruan keamanan September. BleepingComputer juga mencatat adanya kerentanan yang telah diperbaiki Microsoft lebih awal pada bulan yang sama.

Kenapa Jumlahnya Bisa Sebanyak Ini?

Lonjakan jumlah patch terjadi di tengah perubahan besar dalam cara kerentanan perangkat lunak ditemukan.
The Verge melaporkan bahwa Microsoft menghadapi peningkatan jumlah temuan keamanan setelah model AI baru mulai digunakan untuk menemukan kerentanan perangkat lunak dalam skala yang jauh lebih cepat. Microsoft sebelumnya rata-rata memperbaiki sekitar 100 kerentanan per bulan, sebelum jumlah tersebut melonjak menjadi sekitar 200 pada Juni, 570 pada Juli, dan hampir 400 pada Agustus.

Menurut sumber yang dikutip The Verge, model AI dari Anthropic dan OpenAI ikut berkontribusi terhadap meningkatnya jumlah kerentanan yang ditemukan dan kemudian harus diverifikasi serta diperbaiki oleh Microsoft.

Perkembangan tersebut menciptakan situasi yang cukup menarik dalam keamanan siber.

AI membantu peneliti dan perusahaan menemukan lebih banyak celah sebelum dimanfaatkan oleh penyerang. Namun di sisi lain, kemampuan yang sama juga berpotensi membantu pihak berbahaya menemukan dan mengeksploitasi kerentanan yang belum ditambal.

Masalah Baru Bernama "Patch Gap"

Banyaknya patch juga menciptakan tantangan lain bagi administrator sistem.
Setiap kali Microsoft merilis pembaruan keamanan, perusahaan biasanya tidak bisa langsung memasangnya ke seluruh perangkat produksi. Tim IT perlu menguji pembaruan terlebih dahulu untuk memastikan patch tidak menyebabkan masalah kompatibilitas terhadap aplikasi dan infrastruktur yang sudah berjalan.

Jarak antara tersedianya patch dan penerapannya inilah yang dikenal sebagai patch gap.

The Verge memperingatkan bahwa meningkatnya kecepatan penemuan kerentanan melalui AI dapat membuat patch gap menjadi semakin berisiko. Jika sebuah kerentanan ditemukan dan dipublikasikan lebih cepat, sementara organisasi masih membutuhkan waktu untuk menguji dan memasang patch, penyerang memiliki lebih banyak kesempatan untuk memanfaatkan celah tersebut.

Risikonya menjadi lebih besar ketika kerentanan tersebut memungkinkan remote code execution atau peningkatan hak akses.

Microsoft Dorong Pengguna Segera Memasang Pembaruan

Dengan adanya dua zero-day yang sudah dieksploitasi, pembaruan September bukan jenis update yang sebaiknya ditunda terlalu lama.
Microsoft Security Response Center (MSRC) memang menyediakan Security Update Guide sebagai pusat informasi resmi untuk kerentanan dan pembaruan keamanan Microsoft.

Bagi organisasi yang mengelola banyak perangkat Windows dan produk Microsoft, prioritas seharusnya diberikan kepada sistem yang terhubung ke internet, server yang menjalankan layanan Microsoft, serta perangkat yang digunakan untuk mengakses sumber daya internal.

Terutama karena dua kerentanan dalam pembaruan September sudah diketahui digunakan dalam serangan.

AI Mengubah Perlombaan Antara Penyerang dan Defender

Patch Tuesday September 2026 menunjukkan perubahan yang lebih besar daripada sekadar banyaknya bug yang ditambal Microsoft.
AI kini ikut mempercepat proses menemukan kerentanan, sementara perusahaan seperti Microsoft harus bergerak lebih cepat untuk memverifikasi dan memperbaikinya.

Masalahnya, kecepatan tersebut juga berlaku di sisi penyerang.

Jika sebelumnya organisasi memiliki waktu berminggu-minggu atau berbulan-bulan untuk merespons sebuah kerentanan, kemampuan AI untuk menemukan dan mengembangkan eksploitasi dengan cepat dapat memperpendek waktu tersebut secara signifikan. The Verge mencatat bahwa model AI tertentu bahkan telah mampu menghasilkan eksploitasi yang berfungsi untuk kerentanan baru dalam hitungan jam dalam kondisi tertentu.

Dengan demikian, Patch Tuesday September bukan hanya menjadi rekor jumlah patch bagi Microsoft.

Ini juga menjadi gambaran mengenai perubahan kecepatan perang antara pihak yang menemukan celah dan pihak yang harus menutupnya.