Jumlah pengungkapan kerentanan Common Vulnerabilities and Exposures diproyeksikan mencapai 66.000 pada tahun 2026, naik hampir 50 persen dibandingkan 2025. Namun, para peneliti menekankan bahwa volume pengungkapan tidak sama dengan risiko eksploitasi nyata, karena kurang dari 1 persen CVE benar-benar dieksploitasi di alam liar.
APA YANG TERJADI?
FIRST 2026 Mid-Year Vulnerability Forecast memproyeksikan sekitar 66.000 CVE akan diungkapkan pada tahun ini. Analisis dari peneliti kerentanan Jerry Gamblin menunjukkan bahwa pengungkapan pada semester pertama 2026 berjalan hampir 50 persen lebih tinggi dibandingkan periode yang sama di 2025, yang sendiri berakhir dengan rekor 48.185 CVE. Lonjakan dari sekitar 40.000 CVE di 2024 membuat kekhawatiran akan vulnpocalypse tampak beralasan. Namun, data menunjukkan bahwa meskipun jumlah raw meningkat, proporsi kerentanan kritis telah menurun drastis, dari sekitar 13 persen di 2024 menjadi 7 persen di 2025.
Menurut analisis Zafran berdasarkan data National Institute of Standards and Technology National Vulnerability Database, bagian kerentanan yang aktif dieksploitasi di alam liar tetap stabil di bawah 1 persen. FIRST Exploit Prediction Scoring System menyatakan hanya sekitar 5 persen dari seluruh CVE yang pernah terobservasi sedang dieksploitasi. Katalog CISA Known Exploited Vulnerabilities memang tumbuh dari 1.239 entri di akhir 2024 menjadi 1.484 di akhir 2025, namun angka tersebut sangat kecil dibandingkan puluhan ribu pengungkapan baru.
DETAIL TEKNIS
Tiga faktor struktural mendorong lonjakan CVE: pertama, AI-assisted discovery di mana model frontier seperti Anthropic Mythos dan OpenAI GPT 5.5 sangat efektif menemukan bug laten dalam kode lama. Kedua, perubahan structural reporting di mana infrastruktur katalogisasi mulai mengejar backlog, termasuk lonjakan 449 persen tahun-ke-tahun dalam volume GitHub Security Advisory. Ketiga, product sprawl di mana lebih banyak perangkat lunak berarti lebih banyak CVE. Linux kernel sendiri menyumbang lebih dari 5.800 CVE karena CVE Naming Authority mengidentifikasi hampir setiap bugfix, meskipun tingkat eksploitasi real-world mendekati nol.
Metrik yang sebenarnya penting adalah kecepatan, bukan volume. Jendela antara pengungkapan dan eksploitasi menyusut dari minggu menjadi jam, dan bagian eksploitasi yang dimulai sebelum patch vendor tersedia terus meningkat. CISA baru-baru ini menghentikan deadline perbaikan KEV flat 14 hari dan beralih ke model berbasis risiko yang dapat menuntut tindakan dalam waktu tiga hari untuk kombinasi risiko tertinggi.
DAMPAK TERHADAP INDONESIA
Indonesia menghadapi hambatan triase yang lebih parah dibandingkan banyak negara karena keterbatasan sumber daya dan tenaga ahli keamanan siber. Banyak organisasi Indonesia, termasuk instansi pemerintah dan badan usaha milik negara, masih menggunakan metrik jumlah CVE yang di-patch sebagai indikator keberhasilan program keamanan. Pendekatan ini menjadi tidak berkelanjutan menghadapi 66.000 pengungkapan tahunan. Tanpa kemampuan untuk memilah kerentanan yang benar-benar dieksploitasi, tim keamanan akan terjebak dalam siklus patching tanpa akhir yang mengonsumsi sumber daya tanpa mengurangi risiko nyata. Selain itu, ketergantungan Indonesia pada perangkat lunak open source dan sistem legacy meningkatkan exposure terhadap CVE yang tidak pernah dianalisis oleh NVD.
REKOMENDASI MITIGASI
Tim keamanan harus segera beralih dari melaporkan jumlah CVE mentah ke metrik exploitability dan exposure yang actionable. Prioritas pertama adalah patching KEV, diikuti dengan EPSS percentile tertinggi. Virtual patching dan containment harus diimplementasikan untuk melindungi sistem ketika vendor belum merilis perbaikan. Investasi dalam otomasi triase dan enrichment, bukan sekadar menambah headcount patching, merupakan strategi yang lebih berkelanjutan. Organisasi Indonesia juga harus mengadopsi threat intelligence lokal yang dapat memfilter noise global dan menyorot ancaman yang relevan dengan stack teknologi nasional.
Analisa Retasan
Fenomena vulnpocalypse pada 2026 secara fundamental mengubah paradigma manajemen kerentanan dari berbasis kuantitas ke berbasis risiko. Data menunjukkan bahwa ledakan jumlah CVE tidak diikuti oleh peningkatan proporsional dalam risiko eksploitasi, karena sebagian besar pengungkapan baru merupakan bug laten dengan attack surface terbatas atau memerlukan privilege prerequirement yang sulit dipenuhi. Linux kernel dengan 5.800 CVE namun tingkat eksploitasi mendekati 0.02 persen adalah contoh klasik di mana volume discovery oleh AI bug-hunting tidak setara dengan weaponisasi. Fakta bahwa NVD hanya menganalisis 28 persen CVE baru pada 2025 menunjukkan bahwa hambatan bukan pada eksploitasi melainkan pada metadata enrichment dan severity assignment yang tidak mampu mengimbuti laju discovery.
Secara historis, setiap kali ada lonjakan alat discovery baru, jumlah pengungkapan meningkat sebelum industri menyesuaikan metriknya. Contohnya adalah transisi dari manual code review ke automated static analysis pada 2010-an yang menyebabkan lonjakan findings, sebagian besar false positive. Lonjakan CVE 2026 memiliki pola serupa: AI-assisted discovery menghasilkan banyak temuan yang sebelumnya tidak terdeteksi, namun sebagian besar merupakan stability bugs yang tidak memiliki security impact terbukti. Perbedaannya adalah kecepatan; jendela disclosure-to-exploitation yang menyusut dari minggu ke jam berarti bahwa meskipun mayoritas CVE tidak berbahaya, minoritas yang dieksploitasi dapat menyebabkan kerusakan masif dalam skala waktu yang jauh lebih singkat.
Bagi Indonesia, implikasi vulnpocalypse adalah perlunya perubahan mendasar dalam cara instansi pemerintah dan korporasi mengukur maturity keamanan siber. Program patching yang menghabiskan anggaran besar untuk menutup CVE dengan CVSS tinggi namun EPSS rendah adalah pemborosan sumber daya. BSSN dan Kementerian Kominfo perlu mendorong adopsi EPSS dan CISA KEV sebagai standar wajib dalam pelaporan keamanan nasional, bukan sekadar jumlah CVE tertutup. Selain itu, pembentukan national vulnerability database yang menyaring dan mengkontekstualisasikan CVE untuk stack teknologi yang umum digunakan di Indonesia dapat mengurangi beban triase pada organisasi dengan sumber daya terbatas. Tanpa pergeseran ini, vulnpocalypse akan mengakibatkan kelelahan keamanan yang justru melemahkan postur keamanan nasional.
Sumber: Trend Micro
