Microsoft pada hari Selasa meluncurkan pembaruan keamanan untuk menangani sebanyak 1.259 kerentanan di seluruh ekosistem perangkat lunaknya, menandai bulan kedua secara berturut-turut di mana volume perbaikan melampaui angka 1.000 bug.
Pembaruan menyeluruh ini mencakup 726 masalah keamanan pada sistem Windows, 174 di paket aplikasi Office, 61 pada Developer Tools, 59 di lingkungan SQL Server, 53 bug lain pada Developer Tools, serta 27 celah di SharePoint Server. Rangkaian patch ini juga mencakup 165 identifikasi CVE yang diterbitkan di luar Microsoft. Lebih dari 500 masalah berhubungan langsung dengan eskalasi hak istimewa, disusul oleh celah eksekusi kode jarak jauh dan pengungkapan informasi sensitif pengguna.
Melalui rilis perbaikan terbaru pada periode ini, raksasa teknologi Microsoft tercatat telah menambal lebih dari 5.100 CVE sepanjang tahun berjalan ini saja, menurut keterangan dari Satnam Narang selaku senior staff research engineer di perusahaan keamanan Tenable.
Dari seluruh daftar tersebut, sebuah celah keamanan berstatus tingkat keparahan Sedang di Microsoft Outlook (didaftarkan sebagai CVE-2026-124194 dengan skor CVSS 6,5) telah resmi ditandai oleh Microsoft karena aktif dieksploitasi di alam liar.
"Product UI does not warn users of unsafe actions in Microsoft Office Outlook allows an unauthorized attacker to perform spoofing over a network," ungkap pihak Microsoft dalam lembar nasihat resminya.
Seorang penyerang tanpa otentikasi dapat merancang sebuah berkas pesan khusus kemudian membujuk korban potensial agar membuka lampiran tersebut di dalam versi aplikasi Microsoft Outlook yang terdampak gangguan ini.
Langkah manipulasi ini selanjutnya dapat memaksa sistem Outlook menghubungi lokasi jaringan tertentu yang dikendalikan oleh penyerang tanpa menampilkan peringatan konten eksternal seperti biasanya, sehingga berpotensi mengekspos rincian otentikasi penting, seperti hash NTLMv2, yang dapat dipakai pihak lawan untuk meniru profil korban.
Microsoft menegaskan bahwa keberhasilan aksi eksploitasi bug tersebut tetap menuntut adanya konektivitas jaringan serta keterlibatan langsung dari korban. Perusahaan teknologi raksasa tersebut memberikan kredit penghargaan kepada peneliti bernama Nono serta Benoît Sevens dari Anthropic (yang memanfaatkan Claude) atas temuan penting ini.
"Email is the easiest door into any company, and this flaw turns one opened file into a stolen identity," kata Jack Bicer, director of vulnerability research di Action1. "A captured hash can let an attacker sign in as the victim, read their data, and move to other systems they can reach."
"The Moderate label undersells this one. Attackers are already exploiting it, it needs only one click on an email file, and it hits Outlook, which nearly every organization runs. A stolen hash can open doors far beyond the inbox."
Kendati demikian, pihak Redmond sejauh ini belum mengaitkan serangan tersebut secara resmi kepada kelompok peretas tertentu atau memberikan rincian teknis mendalam tentang metode eksploitasinya. Pemberitahuan keamanan tersebut juga tidak memperjelas apakah pelaporan temuan terjadi sebelum atau sesudah para pelaku kejahatan siber mulai melancarkan aksinya.
Situasi genting ini segera mendorong Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) memasukkan kerentanan tersebut ke daftar katalog Known Exploited Vulnerabilities (KEV), sekaligus mewajibkan seluruh lembaga federal menerapkan perbaikan paling lambat 24 November 2026.
Sejumlah kerentanan signifikan lainnya mencakup berbagai bug eksekusi kode jarak jauh yang berdampak pada Windows Search (CVE-2026-116928), Lightweight Directory Access Protocol (CVE-2026-119958), Windows Schannel (CVE-2026-119952), Windows Virtual Filtering Platform (CVE-2026-95962), dan Windows Xbox Live Networking Service (CVE-2026-112967), serta satu celah eskalasi hak istimewa pada platform Azure OpenAI (CVE-2026-119990).
"Most security teams haven't quite recovered from the last month of bumper-to-bumper critical vulnerabilities, emergency patches, and '2shell'-branded everything, and we're yet again at another Patch Tuesday," ungkap Jake Knott, head of threat intelligence di watchTowr.
"Teams are really starting to feel the strain of working out 'what actually matters?' when there is fire after fire every day demanding immediate attention. Start with what you actually have exposed to the Internet, then what’s already being exploited in the wild, and only then everything else. Before going into panic mode, check whether you even use the vulnerable component, or meet the prerequisites for exploitation."
