Microsoft merilis update keamanan terbesar dalam sejarahnya pada Patch Tuesday Juli 2026, dengan total 622 CVE baru yang diperbaiki — belum termasuk sekitar 480 bug Chromium/Edge yang tidak diliput. Dari jumlah tersebut, 3 di antaranya merupakan zero-day yang sudah dieksploitasi di lapangan, dan 63 diklasifikasikan sebagai Critical. Adobe juga merilis 12 security bulletin dengan 88 CVE pada siklus yang kini berubah menjadi bimonthly.
APA YANG TERJADI?
Patch Tuesday Juli 2026 menjadi rilis keamanan terbesar yang pernah diterbitkan Microsoft, melampaui rekor sebelumnya secara signifikan. Dengan 622 CVE yang diperbaiki, volume kerentanan ini menunjukkan kompleksitas yang terus meningkat dalam ekosistem produk Microsoft. Zero Day Initiative (ZDI) mencatat bahwa dari total tersebut, 2 CVE sudah dieksploitasi aktif di lapangan dan 1 lagi sudah diungkapkan secara publik.
Zero-day yang paling kritis meliputi CVE-2026-56155 (AD FS Elevation of Privilege, CVSS 7.8), CVE-2026-56164 (SharePoint Server Elevation of Privilege, CVSS 5.3, unauthenticated), dan CVE-2026-50661 (Windows BitLocker Security Feature Bypass) yang sudah diungkapkan secara publik. Kombinasi ketiga zero-day ini menunjukkan bahwa multiple attack vectors sedang aktif dieksploitasi oleh pelaku ancaman.
DETAIL TEKNIS
Beberapa kerentanan dengan CVSS score tertinggi pada rilis ini antara lain: CVE-2026-57092 (Windows VMSwitch EoP, CVSS 9.9), CVE-2026-45499 (Azure OpenAI EoP, CVSS 9.9), CVE-2026-57100 (Microsoft Entra Provisioning Service EoP, CVSS 9.9), CVE-2026-50522/CVE-2026-58644 (SharePoint RCE, CVSS 9.8), CVE-2026-56190 (RDP RCE, CVSS 9.8), dan CVE-2026-55008 (Exchange Server Spoofing/Stored XSS, CVSS 9.6).
Breakdown kategori kerentanan mencakup sekitar 95 RCE (Remote Code Execution), 260 EoP (Elevation of Privilege), 111 Information Disclosure, 20 Security Feature Bypass, 31 Spoofing, 8 Tampering, dan 35 DoS. Komponen yang mendapat patch paling signifikan meliputi SharePoint (RCE + EoP + SFB), Exchange Server (Stored XSS di OWA), DHCP Server (5 RCE!), NTFS/ReFS (21 filesystem RCEs), Hyper-V, AD FS (7 DoS), serta komponen AI seperti Microsoft Copilot, Entra, dan Azure OpenAI.
Yang menarik adalah adanya kerentanan pada Azure OpenAI (CVE-2026-45499, CVSS 9.9) yang memungkinkan Elevation of Privilege. Ini menandakan bahwa attack surface pada layanan AI semakin menjadi perhatian serius. Selain itu, kerentanan ditemukan juga pada Age of Empires II RCE dan Minecraft Bedrock Dedicated Server RCE, yang menunjukkan bahwa bahkan produk hiburan tidak luput dari risiko keamanan.
DAMPAK TERHADAP INDONESIA
Dengan 622 CVE yang diperbaiki, organisasi Indonesia yang menggunakan produk Microsoft — mulai dari Windows Server, SharePoint, Exchange, hingga layanan Azure — harus segera melakukan assessment dan penerapan patch. Volume patch yang sangat besar ini menjadi tantangan tersendiri bagi tim IT yang biasanya memiliki resource terbatas.
Kerentanan pada SharePoint (CVE-2026-56164 zero-day dan CVE-2026-50522/CVE-2026-58644 RCE) sangat relevan untuk Indonesia mengingat banyaknya instansi pemerintah, BUMN, dan universitas yang mengandalkan SharePoint untuk workflow internal. Kerentanan Azure OpenAI juga menjadi peringatan bagi organisasi Indonesia yang mulai mengadopsi layanan AI Microsoft, karena attack surface baru ini masih belum dipahami secara luas.
Dalam konteks PDP Law dan SKKNI Siber, kegagalan untuk menambal zero-day yang sudah aktif dieksploitasi dapat dianggap sebagai kelalaian serius. BSSN dan Kementerian Kominfo perlu mengeluarkan advisori mendesak untuk memastikan seluruh instansi pemerintah segera menerapkan patch, terutama untuk zero-day yang sudah dieksploitasi di lapangan.
REKOMENDASI MITIGASI
1. Prioritaskan penerapan patch untuk zero-day (CVE-2026-56155, CVE-2026-56164, CVE-2026-50661) terlebih dahulu. 2. Patch SharePoint dan Exchange Server segera mengingat kerentanan RCE dan XSS yang aktif dieksploitasi. 3. Audit penggunaan Azure OpenAI dan Entra di organisasi, pastikan konfigurasi keamanan telah optimal. 4. Gunakan WSUS atau SCCM untuk deployment patch secara terpusat dan terukur. 5. Lakukan testing patch di environment staging sebelum production deployment. 6. Aktifkan monitoring dan logging untuk mendeteksi upaya eksploitasi.
Analisa Retasan
Rekor 622 CVE dalam satu Patch Tuesday bukan sekadar angka yang mengesankan — ini adalah cerminan dari kompleksitas ekosistem Microsoft yang terus berkembang. Dengan lebih dari 95 RCE dan 260 EoP, attack surface Microsoft menjadi lahan yang sangat subur bagi pelaku ancaman. Yang paling mengkhawatirkan adalah adanya zero-day yang sudah aktif dieksploitasi — CVE-2026-56164 (SharePoint EoP, unauthenticated) dan CVE-2026-56155 (AD FS EoP) merupakan kombinasi yang sangat berbahaya karena memungkinkan penyerang untuk mendapatkan privilege escalation pada infrastruktur identitas tanpa autentikasi.
Fokus pada kerentanan AI (Azure OpenAI CVE-2026-45499 dengan CVSS 9.9) menandakan babak baru dalam keamanan siber. Ketika organisasi di seluruh dunia, termasuk di Indonesia, mulai mengadopsi layanan AI, attack surface baru ini menjadi target yang sangat menarik bagi APT groups. Elevation of Privilege pada Azure OpenAI berarti penyerang dapat mengakses atau memanipulasi model AI, data training, atau output yang dihasilkan — dengan dampak yang bisa sangat luas pada keputusan bisnis yang bergantung pada AI.
Untuk organisasi Indonesia, strategi patching harus menjadi prioritas tertinggi. Dengan 622 CVE, pendekatan selective patching sudah tidak memadai — diperlukan pendekatan risk-based yang memprioritaskan zero-day dan Critical vulnerabilities terlebih dahulu, diikuti olehsisa patches dalam batches terukur. BSSN perlu mengkoordinasikan respons nasional, terutama untuk instansi pemerintah yang menjalankan SharePoint, Exchange, dan AD FS. Mengingat adanya DHCP Server RCE (5 vulnerabilities!) yang bisa mempengaruhi seluruh jaringan, assessment terhadap infrastruktur jaringan juga harus menjadi bagian dari respons patching ini.
Sumber: Zero Day Initiative — The July 2026 Security Update Review
