Rekor Patch Tuesday: cara perusahaan menengah memilah 1.400 celah

Dua pekan lalu Microsoft merilis tambalan keamanan bulanannya, dan angkanya memecahkan rekor. Zero Day Initiative menghitung 1.415 CVE baru dari Microsoft dalam satu rilis. BleepingComputer menulis 1.411 celah, karena hanya menghitung yang terbit di hari Patch Tuesday itu sendiri. Beda hitungan, kesimpulannya sama: belum pernah ada rilis sebesar ini.

Kalau Anda manajer operasional atau IT di perusahaan menengah, angka itu mungkin langsung terasa seperti antrean pekerjaan seribu empat ratus tiket. Menurut kami, itu salah baca. Rekor ini lebih tepat dibaca sebagai peringatan bahwa cara tambal yang "kerjakan semua, urut dari atas" sudah tidak masuk akal.

Apa yang sebenarnya ada di rilis itu

Beberapa fakta yang dicek ke sumbernya:

• Ini rilis pertama yang melewati 1.000 celah dalam sebulan. Penulis ulasan di Zero Day Initiative menyebut volumenya lebih besar dari total Microsoft di tahun mana pun sebelumnya. Sebagai pembanding, ulasan yang sama mencatat 914 CVE untuk seluruh 2023.
• Dari ribuan itu, hanya satu yang tercatat sedang diserang: CVE-2026-96951, celah di Windows Shell yang dipakai untuk melewati perlindungan Mark of the Web, yaitu tanda peringatan pada berkas hasil unduhan.
• Dua celah lain sudah diketahui publik tapi belum dilaporkan dipakai menyerang: CVE-2026-108398 di .NET Framework dan CVE-2026-92707 di MessagePack-CSharp.
• Zero Day Initiative juga menghitung 59 celah yang berpotensi menyebar sendiri antarmesin (wormable).
• Soal sebabnya, BleepingComputer mencatat Microsoft terus memakai platform AI untuk mencari dan memperbaiki celah di produknya. Zero Day Initiative menulis hal serupa: AI jelas membantu menemukan bug lebih cepat, dan itu berlaku untuk penyerang maupun pembela.

Jadi yang mendesak dari rilis sebesar itu adalah satu celah yang sedang diserang, ditambah beberapa puluh yang bisa menyebar sendiri. Sisanya penting, tapi tidak harus selesai besok pagi.

Kenapa ini jadi masalah di perusahaan menengah

Di perusahaan besar ada tim khusus yang mengurus tambalan. Di usaha kecil, satu laptop dan satu router, tambalan jalan otomatis. Perusahaan menengah ada di tengah, dan di situ paling sering kelabakan.

Gambarannya biasanya begini. Ada beberapa cabang, tiap cabang punya mesin kasir atau komputer admin dengan versi Windows yang tidak seragam. Ada satu atau dua aplikasi lama yang pernah rusak setelah update, jadi semua orang takut menyentuhnya. Tim IT-nya dua orang, atau malah satu orang yang merangkap urusan printer dan Wi-Fi. Tidak ada daftar rapi tentang apa yang terpasang di mana.

Dalam kondisi begitu, rilis 1.400 celah menghasilkan dua reaksi yang sama buruknya. Reaksi pertama: tambal semua sekaligus dalam satu malam, lalu pagi harinya kasir di dua cabang macet. Reaksi kedua: karena terlalu banyak, ditunda sampai ada waktu. Padahal celah yang sedang dipakai penyerang tidak menunggu waktu luang Anda.

Urutkan berdasarkan risiko, bukan berdasarkan nomor

Saran Zero Day Initiative di ulasannya cukup tegas: dahulukan yang sudah terbukti, yang berprioritas, dan yang sudah publik, lalu perlakukan sisanya sebagai kebiasaan baru. Kami sependapat, dan menurut kami cara paling praktis untuk menerapkannya adalah empat tingkat prioritas.

1. Sedang diserang. Kerjakan dalam hitungan hari, setelah uji singkat di satu mesin. Bulan ini, itu celah Windows Shell tadi.
2. Bisa menyebar sendiri, atau menghadap internet. Server, VPN, dan layanan yang bisa dijangkau dari luar kantor. Zero Day Initiative secara khusus mengingatkan untuk memeriksa SQL Server yang terhubung langsung ke internet.
3. Sudah diketahui publik. Masuk jendela maintenance terdekat.
4. Sisanya. Ikut jadwal rutin bulanan.

Dengan cara ini, seribu empat ratus baris berubah jadi satu halaman. Itu yang membuat tim kecil sanggup.

Lima langkah yang bisa mulai dipakai bulan depan

Rilis berikutnya jatuh di Selasa kedua November. Kalau rutinitas berikut sudah siap sebelum itu, hari Patch Tuesday akan terasa jauh lebih tenang:

1. Catat apa yang Anda pakai. Versi Windows, server, dan aplikasi di setiap cabang. Tanpa daftar ini, Anda tidak bisa tahu rilis mana yang menyentuh Anda.
2. Baca ringkasan rilis. Cari yang sedang diserang dan yang bisa menyebar sendiri. Ringkasan dari BleepingComputer atau Zero Day Initiative cukup untuk itu.
3. Pilah ke empat prioritas. Satu halaman, bukan satu spreadsheet raksasa.
4. Uji di satu mesin dulu. Pilih mesin yang mewakili: komputer kasir, atau mesin yang menjalankan aplikasi lama itu.
5. Tambal bertahap, lalu catat. Siapa, kapan, mesin mana, hasilnya apa. Catatan ini juga yang Anda butuhkan saat auditor atau manajemen bertanya.

Yang kami lihat dari sisi pembuat sistem

Kami membangun sistem untuk usaha seperti kasir, pencatatan aset, dan aplikasi operasional multi-cabang. Dari situ kami paham bahwa tambalan keamanan jarang gagal karena tambalannya. Biasanya gagal karena tidak ada yang tahu persis apa yang terpasang di mana, dan tidak ada jadwal yang disepakati dengan orang operasional.

Itu sebabnya urusan ini bukan cuma tugas IT. Jam buka toko, jam sibuk kasir, dan hari tutup buku menentukan kapan jendela maintenance bisa dipakai. Manajer operasional dan IT perlu duduk bersama sekali, menyepakati jendela itu, lalu rilis sebesar apa pun tinggal masuk ke slot yang sudah ada.

Dan rekor ini kemungkinan bukan yang terakhir. Kalau AI memang membuat celah ditemukan lebih cepat, rilis bulanan yang besar akan jadi hal biasa. Tim yang punya daftar aset dan urutan prioritas akan bekerja seperti biasa. Tim yang tidak punya akan menghabiskan tiap Selasa kedua dengan panik.

Kalau mau ngobrol

Kalau Anda sedang menimbang cara merapikan sistem operasional di beberapa cabang, termasuk pencatatan aset dan aplikasi yang perlu rutin diperbarui, kami senang mendengar kondisinya dulu. Hubungi kami lewat WhatsApp di +62 823 1499 5005, atau email bisnis@xetup.id.

Sumber: BleepingComputer, 13 Oktober 2026, Zero Day Initiative, 13 Oktober 2026, Security Affairs, 14 Oktober 2026.