Patch Tuesday Oktober 2026: Microsoft Tambal 1.400+ Celah, Rekor Bulanan Pecah Lagi

Selasa, 13 Oktober 2026, Microsoft menambal lebih dari 1.400 celah keamanan dalam satu rilis — angka yang membuat Patch Tuesday bulan ini jadi yang terbesar dalam sejarah perusahaan, melampaui rekor bulan sebelumnya yang baru saja dipecahkan. Salah satu dari ratusan celah itu bukan sekadar temuan laboratorium: satu zero-day di Windows Shell sudah dipakai penyerang sungguhan di alam liar sebelum tambalannya tersedia.

Berapa persisnya? Tergantung siapa yang menghitung

Angka pasti Patch Tuesday Oktober 2026 berbeda-beda tergantung metodologi tiap media yang melacaknya. BleepingComputer mencatat 1.411 celah dengan tiga zero-day, karena medium ini hanya menghitung CVE yang dirilis tepat pada hari Patch Tuesday itu sendiri — tidak termasuk 348 CVE lain yang sudah ditambal Microsoft lebih awal bulan ini (BleepingComputer). CyberScoop dan SecurityWeek, yang menghitung dengan cakupan sedikit berbeda, sama-sama melaporkan 1.413 celah dan menyebutnya rekor tertinggi sepanjang masa (CyberScoop; SecurityWeek). Tenable, yang membedah rilis ini secara rinci, menghitung 1.407 CVE dengan 69 di antaranya berstatus kritis, dan merinci sebarannya: 1.102 di Windows, 134 di Office, 61 di perkakas pengembang, dan 36 di SharePoint Server (Tenable). Berapa pun angka yang dipakai, satu hal konsisten di semua laporan: ini rekor bulanan terbesar yang pernah dicatat Microsoft, melanjutkan tren jumlah tambalan yang terus menanjak sepanjang 2026. Perbedaan angka antarmedia ini sendiri menunjukkan sesuatu yang penting: menghitung "berapa banyak celah yang ditambal" ternyata tidak sesederhana kelihatannya begitu Microsoft mulai merilis sebagian tambalan di luar jadwal resmi bulanan, bukan hanya pada hari Selasa kedua seperti konvensi lama Patch Tuesday.

Zero-day yang sudah dipakai penyerang sebelum tambalan keluar

Yang membuat rilis ini mendesak bukan cuma volumenya, melainkan CVE-2026-96951 — celah bypass fitur keamanan di Windows Shell dengan skor CVSS 8.8 yang terbukti sudah dieksploitasi secara aktif di dunia nyata sebelum Microsoft merilis tambalannya (Dark Reading). Celah ini memungkinkan penyerang melewati perlindungan Mark of the Web, mekanisme yang seharusnya memperingatkan Windows bahwa sebuah file berasal dari internet dan perlu diperlakukan hati-hati — salah satu lapisan pertahanan paling dasar terhadap file berbahaya yang dikirim lewat email atau diunduh dari web. Menurut analisis Tenable, ini adalah zero-day Windows Shell ketiga yang dieksploitasi penyerang hanya dalam tahun ini saja, pola berulang yang menunjukkan komponen itu jadi target favorit pelaku serangan (Tenable).

Dua zero-day publik lain, dan satu celah yang perlu diprioritaskan

Selain CVE-2026-96951, Microsoft juga menambal dua celah lain yang detailnya sudah dipublikasikan ke publik sebelum tambalan tersedia — meski keduanya belum terkonfirmasi dieksploitasi. CVE-2026-108398 adalah celah bypass fitur keamanan di .NET Framework yang memungkinkan penyerang melewati penegakan Windows Defender Application Control (WDAC), kontrol yang biasa dipakai organisasi untuk membatasi aplikasi apa saja yang boleh berjalan di perangkat mereka. Satu lagi, CVE-2026-92707, adalah celah denial-of-service di pustaka MessagePack-CSharp (SecurityWeek). Peneliti keamanan juga menyoroti CVE-2026-102866, celah elevasi hak akses di SharePoint dengan skor CVSS 8.1, sebagai salah satu yang paling mendesak untuk ditambal duluan mengingat SharePoint sering jadi pintu masuk favorit penyerang ke jaringan korporat (Tenable).

Apa yang perlu diprioritaskan tim IT sekarang

Dengan lebih dari seribu empat ratus celah turun sekaligus, tak ada tim keamanan yang bisa menambal semuanya di hari yang sama — jadi urutan jadi penting. CVE-2026-96951 harus jadi prioritas nomor satu karena sudah terbukti dieksploitasi; menunda tambalan ini sama saja membiarkan celah yang penyerang sudah tahu cara pakainya tetap terbuka. CVE-2026-102866 di SharePoint menyusul di urutan kedua — bukan karena sudah dieksploitasi, tapi karena server SharePoint biasanya menyimpan dokumen sensitif dan terhubung langsung ke identitas korporat, sehingga jadi target bernilai tinggi begitu detailnya dipublikasikan. CVE-2026-108398 di .NET Framework juga layak diperhatikan serius oleh organisasi yang mengandalkan WDAC sebagai lapisan pertahanan utama, karena celah ini secara spesifik melemahkan kontrol tersebut, bukan sekadar bug biasa. Sisanya — termasuk ratusan celah berstatus bukan kritis — bisa mengikuti siklus tambalan rutin organisasi masing-masing.

Takeaway

Rekor Patch Tuesday yang terus pecah setiap beberapa bulan — dari ratusan jadi lebih dari seribu empat ratus celah dalam satu rilis — menunjukkan permukaan serangan software modern terus melebar: dari sistem operasi, aplikasi office, server kolaborasi, sampai pustaka pihak ketiga yang dipakai ribuan aplikasi lain. Yang membedakan rilis Oktober ini bukan cuma volumenya, melainkan fakta bahwa satu di antaranya sudah dipakai penyerang sungguhan sebelum tambalan tersedia — pengingat bahwa di balik angka besar, selalu ada beberapa baris CVE yang jauh lebih mendesak daripada yang lain.

Sumber gambar: Florian Olivo di Unsplash Sumber gambar: Ilya Pavlov di Unsplash Sumber gambar: Chris Ried di Unsplash