Patch Tuesday Terbesar Sepanjang Sejarah Microsoft: 973 Celah Ditambal, Dua Zero-Day Sudah Dieksploitasi

973 celah keamanan, ditambal dalam satu rilis, pada satu hari Selasa. Itu angka Patch Tuesday Microsoft untuk September 2026 — rekor baru, jauh melampaui rekor lama 664 celah yang baru saja dipecahkan dua bulan sebelumnya, di Juli (CyberSecurityNews). Dua di antara ratusan celah itu bukan sekadar temuan riset yang belum pernah disentuh siapa pun: keduanya zero-day yang sudah dipakai penyerang sungguhan sebelum tambalan ini keluar.

Rincian rilis yang tidak biasa besarnya

Microsoft membagi 973 CVE bulan ini ke hampir semua lini produknya: 723 di Windows sendiri, 111 di Office, 62 di SQL Server, 22 di perangkat pengembang, 16 di SharePoint Server, dan 9 di Exchange Server (CyberSecurityNews). Dari jumlah itu, 113 celah diberi label Critical — mayoritas berupa remote code execution, jenis kerentanan paling berbahaya karena penyerang bisa menjalankan kode dari jarak jauh tanpa perlu akses fisik atau kredensial sah lebih dulu (MajorGeeks).

Volume sebesar ini berarti tim IT di seluruh dunia — dari perusahaan kecil sampai kementerian — harus mengoordinasikan uji dan pemasangan tambalan lintas endpoint, server, Azure, sampai lingkungan aplikasi enterprise, semua dalam jendela waktu yang sama seperti bulan-bulan biasa. Skala pekerjaannya nyaris dua kali lipat dibanding Agustus (Cryptika).

Dua zero-day yang sudah dieksploitasi

Yang membuat rilis ini mendesak bukan cuma jumlahnya, tapi status dua celahnya. CVE-2026-85880 adalah heap buffer overflow di Windows Advanced Local Procedure Call (ALPC) — komponen inti komunikasi antar-proses di Windows — yang memungkinkan penyerang lokal menaikkan haknya sampai ke level System, kendali penuh atas mesin (MajorGeeks).

CVE-2026-81963 menyasar Windows Update Stack sendiri — komponen yang justru bertugas memasang tambalan keamanan. Ini cacat "link following": penyerang memanfaatkan proses resolusi tautan file yang tidak diamankan dengan benar untuk menaikkan hak akses secara lokal. Diberi rating Important, bukan Critical, tapi tetap masuk daftar yang sudah aktif dieksploitasi (CyberSecurityNews). Ironisnya, celah di infrastruktur pembaruan sendiri berarti sistem yang menunda instalasi tambalan ini makin lama makin rentan — bukan cuma tidak terlindungi dari 973 celah lain, tapi juga dari jalur eksploitasi yang menyasar mekanisme perlindungannya sendiri.

Kedua celah sama-sama elevation-of-privilege, bukan remote code execution — artinya penyerang butuh pijakan awal di mesin korban lebih dulu (lewat phishing, malware, atau akses fisik) sebelum bisa memakainya. Tapi justru kombinasi itu yang lazim dipakai dalam serangan bertahap: masuk lewat celah kecil, lalu naik hak akses lewat ALPC atau Update Stack sampai jadi System.

Kenapa angkanya melonjak secepat ini

Lonjakan dari 664 ke 973 dalam dua bulan bukan kejadian sekali jalan. FIRST — organisasi nirlaba yang mengoordinasikan tim respons insiden keamanan di seluruh dunia — merevisi proyeksi CVE global 2026 jadi sekitar 66.000, naik dari perkiraan median 59.427 yang mereka keluarkan awal tahun (FIRST.org). Jumlah kerentanan berisiko tinggi dan kritis (skor CVSS 7-10) yang diungkap pun berlipat ganda: dari 4.268 di kuartal kedua 2025 menjadi 8.539 di kuartal kedua 2026.

Penyebab yang paling sering disebut peneliti keamanan: alat berbasis AI kini dipakai massal untuk memindai kode lama mencari celah, termasuk celah yang sudah "selamat" dari puluhan tahun tinjauan manual manusia (SecurityWeek). Efeknya dua arah: vendor seperti Microsoft menemukan dan menambal lebih banyak celah di produknya sendiri sebelum bocor keluar, tapi penyerang punya alat yang sama untuk memburu celah yang belum sempat ditambal. Siklus rilis tambalan bulanan yang dulu cukup untuk mengimbangi laju temuan manual kini kewalahan menghadapi laju temuan berbasis mesin.

Microsoft bukan satu-satunya yang kena dampaknya. Google, misalnya, merilis Chrome 150 pada akhir Juni dengan 433 perbaikan keamanan dalam satu versi saja (SecurityWeek) — pola yang sama, vendor besar mana pun, hanya beda skala. FIRST mencatat kurang dari 1% dari kerentanan yang baru ditemukan berhasil ditambal cukup cepat untuk mendahului eksploitasi aktif, sebuah rasio yang menjelaskan kenapa dua celah bulan ini sudah dipakai penyerang sebelum tambalannya sempat terpasang di mana-mana.

Takeaway

Rekor 973 celah bulan ini kemungkinan bukan puncak, melainkan titik data lain di kurva yang terus naik — dan siklus Patch Tuesday bulanan yang selama ini jadi ritme standar keamanan Windows sedang diuji oleh kecepatan yang tidak lagi cocok dengan skalanya. Untuk tim IT, artinya prioritas harus bergeser: bukan lagi mengejar menambal semua 973 celah dalam satu siklus, tapi memastikan dua yang sudah aktif dieksploitasi — CVE-2026-85880 dan CVE-2026-81963 — masuk antrean pertama, sebelum volume berikutnya datang bulan depan.

Sumber gambar: Markus Spiske di Unsplash Sumber gambar: Christopher Gower di Unsplash Sumber gambar: Chris Ried di Unsplash