Dua zero-day Windows sedang dieksploitasi—jumlah patch bukan prioritas utama

Microsoft menerbitkan pembaruan keamanan pada 8 September 2026 untuk dua zero-day Windows yang telah dieksploitasi: CVE-2026-81963 pada Windows Update Stack dan CVE-2026-85880 pada Windows Advanced Local Procedure Call (ALPC). Catatan rilis keamanan September dari Microsoft menjadi acuan resmi untuk mencocokkan kerentanan, produk terdampak, dan pembaruan yang tersedia.

Bagi administrator, prioritas pertama bukan menyelesaikan perdebatan mengenai total CVE, melainkan menemukan aset yang terpapar kedua celah tersebut—terutama perangkat dengan tanda kompromi atau kemungkinan eksekusi lokal oleh penyerang. Kedua kelemahan dapat mengubah akses terbatas menjadi hak SYSTEM, sedangkan perbedaan angka dalam rekap muncul karena batas dan waktu penghitungan tidak selalu sama.

Dua zero-day memerlukan pijakan lokal sebelum mencapai SYSTEM

CVE-2026-81963 merupakan kerentanan eskalasi hak akses pada Windows Update Stack. Kelemahan resolusi tautan sebelum akses berkas dapat dimanfaatkan oleh penyerang yang sudah memiliki akses lokal berhak rendah untuk memperoleh hak SYSTEM; tahap eskalasinya tidak memerlukan interaksi pengguna.

CVE-2026-85880 memengaruhi ALPC, mekanisme komunikasi antarproses di Windows. Penyerang yang sudah dapat menjalankan kode secara lokal, termasuk dari lingkungan AppContainer berhak rendah, dapat memicu buffer overflow berbasis heap untuk keluar dari batas tersebut dan mencapai SYSTEM tanpa tindakan tambahan dari pengguna.

Analisis teknis CrowdStrike pada 8 September mengidentifikasi keduanya sebagai kerentanan berperingkat Important dengan skor CVSS 7,8 yang telah dieksploitasi. Laporan itu menghitung 972 kerentanan, termasuk 113 berperingkat Critical, tetapi angka besar tersebut tidak mengurangi arti operasional dari status eksploitasi aktif.

Syarat akses lokal berarti kedua celah bukan jalur serangan langsung dari internet. Namun, dalam serangan bertahap, akses awal dapat berasal dari kredensial yang dicuri, malware, atau kerentanan lain; celah eskalasi kemudian memberi penyerang kendali yang lebih tinggi atas perangkat yang sudah dimasuki.

Urutan aset ditentukan oleh pijakan penyerang dan dampaknya

Dua zero-day aktif harus masuk jalur remediasi prioritas tinggi, tetapi tidak semua perangkat memiliki urgensi yang identik. Urutan penyebaran perlu mempertimbangkan apakah penyerang mungkin sudah memiliki eksekusi lokal, nilai aset, kredensial yang tersedia pada mesin, dan konsekuensi jika perangkat dikuasai sebagai SYSTEM.

• Paling mendesak: perangkat terdampak dengan indikator kompromi, proses mencurigakan, atau bukti penyalahgunaan akun berhak rendah. Patch perlu berjalan bersama penanganan insiden karena pembaruan tidak menghapus akses yang sudah diperoleh.
• Prioritas tinggi: workstation administrator, jump host, endpoint yang mengelola banyak konten eksternal, serta mesin yang menyimpan atau memakai kredensial istimewa. Pengambilalihan pada aset ini dapat membuka jalur ke sistem lain.
• Dinilai secara paralel: domain controller dan server dengan layanan jaringan yang terekspos. Kerentanan eksekusi kode jarak jauh tanpa autentikasi dapat lebih mendesak pada mesin tertentu karena tidak membutuhkan pijakan lokal.
• Tetap dicakup: perangkat terdampak lainnya, termasuk mesin offline atau instalasi yang gagal pada gelombang awal. Status kampanye di konsol pengelolaan belum membuktikan bahwa setiap endpoint sudah terlindungi.

Matriks tersebut membedakan prioritas kerentanan dari prioritas aset. Status zero-day menentukan urgensi celah, sedangkan posisi perangkat dalam antrean patch tetap bergantung pada keterpaparan dan dampak bisnis jika eksploitasi berhasil.

Angka 966 dan 972 menghitung cakupan yang berbeda

Perbedaan total bukan bukti bahwa salah satu rekap pasti salah. Penghitungan BleepingComputer sebanyak 966 kerentanan hanya memasukkan kelemahan yang dirilis Microsoft pada hari Patch Tuesday dan secara eksplisit mengecualikan 204 kelemahan yang telah diperbaiki lebih awal pada bulan yang sama.

CrowdStrike menggunakan total 972 untuk rilis keamanan September. Selisih tersebut dapat timbul dari waktu pengambilan data, perlakuan terhadap entri yang diperbarui, serta cakupan produk atau kerentanan yang dimasukkan ke dalam rekap bulanan.

Belum tersedia rekonsiliasi baris demi baris yang menjelaskan seluruh selisih antardaftar. Karena itu, angka agregat sebaiknya selalu dibaca bersama nama penyedia, waktu pengambilan data, dan definisi cakupannya—bukan digunakan sebagai ukuran tunggal keberhasilan patch.

Pada satu perangkat, jumlah yang relevan juga hampir pasti lebih kecil daripada total lintasproduk. Sistem operasi, versi, peran server, aplikasi Microsoft yang terpasang, serta status pembaruan menentukan CVE mana yang benar-benar berlaku pada aset tersebut.

Patch tidak membatalkan kompromi yang sudah terjadi

Keberhasilan penyebaran perlu diverifikasi per aset, bukan hanya dari status umum kampanye. Perangkat offline, instalasi yang gagal, atau pemetaan versi yang keliru dapat tetap rentan meskipun gelombang pembaruan sudah dinyatakan selesai.

Pada mesin dengan tanda kompromi, pemeriksaan pascapatch tetap diperlukan. Pembaruan menutup jalur eksploitasi, tetapi tidak menghapus persistensi, perubahan hak akses, kredensial yang telah dicuri, atau tindakan lain yang terjadi sebelum perbaikan terpasang.

Per 11 September 2026, pembaruan untuk kedua zero-day telah tersedia dan eksploitasi aktif terhadap keduanya telah teridentifikasi, tetapi rincian publik mengenai pelaku, sasaran, skala serangan, dan metode akses awal masih terbatas. Informasi kampanye tambahan serta hasil verifikasi pemasangan di setiap lingkungan akan menentukan apakah urutan remediasi perlu disesuaikan lagi.

Baca juga:

• Dua celah SonicWall sedang dieksploitasi—patch saja belum tentu cukup
• Apakah AI sedang menjadi gelembung? Lima angka yang perlu diuji
• CVE-2026-8452 aktif dieksploitasi, tenggat patch NetScaler sangat sempit