Selama bertahun-tahun, pengelolaan kerentanan berjalan dalam siklus yang relatif dapat diprediksi: sebuah kerentanan ditemukan, diungkapkan, dievaluasi, diprioritaskan, dan pada akhirnya diperbaiki. Model tersebut kini semakin sulit untuk dipertahankan.
Patch Tuesday Microsoft bulan September 2026 merupakan bukti paling jelas hingga saat ini, dengan rekor 973 kerentanan yang ditangani dalam satu rilis. Seiring dengan percepatan penemuan kerentanan, pengembangan eksploit, dan pelaksanaan serangan oleh AI, organisasi harus memperbaiki kerentanan dengan lebih cepat agar dapat mengimbangi perkembangan tersebut. Ini merupakan masalah kritis bagi ISV (vendor perangkat lunak independen) yang kini harus mempertimbangkan faktor kecepatan dalam solusi manajemen kerentanan ( vulnerability detection ) dan manajemen patch mereka.
Poin-Poin Penting
- Patch Tuesday Microsoft pada September 2026 mencetak rekor baru dengan 973 kerentanan yang ditangani, termasuk dua kerentanan zero-day yang telah dieksploitasi (CVE-2026-85880, CVE-2026-81963)
- AI semakin mempersempit rentang waktu antara ditemukannya kerentanan hingga dimanfaatkannya kerentanan tersebut. Pelaku ancaman semakin sering memanfaatkan AI untuk mempercepat penemuan kerentanan, pengembangan eksploit, dan pelaksanaan serangan.
- Pengelolaan kerentanan dan pembaruan keamanan kini menjadi kemampuan keamanan berbasis waktu nyata. Mendeteksi kerentanan saja tidak lagi cukup. Organisasi perlu memprioritaskan dan memperbaikinya dengan cepat, secepat kecerdasan buatan.
- Manajemen patch harus melampaui sekadar pelaporan. Pelanggan membutuhkan produk yang dapat membantu mereka mengidentifikasi kerentanan, memprioritaskan risiko, dan mengambil tindakan dengan cepat, bukan sekadar memberi tahu mereka apa yang salah.
- ISV dapat mengubah keamanan tertanam menjadi keunggulan kompetitif. Mengintegrasikan deteksi ancaman ( vulnerability detection ) dan tindakan perbaikan (remediation) secara langsung ke dalam produk dapat menciptakan pengalaman pelanggan yang lebih lancar sekaligus membantu pelanggan mengurangi rentang waktu paparan ancaman.
Tinjauan Lebih Mendalam tentang Patch Tuesday Microsoft pada September 2026
Pada 8 September 2026, Microsoft merilis perbaikan untuk 973 CVE (Common Vulnerabilities and Exposures), yang merupakan rilis keamanan tunggal terbesar dalam sejarah program tersebut dan meningkat lebih dari 350 dibandingkan rekor sebelumnya pada bulan Juli yang berjumlah 622. Rilis ini mencakup Windows, Microsoft Office, SQL Server, Exchange, SharePoint, Azure, dan alat pengembangan, dengan 723 di antaranya merupakan perbaikan yang khusus berlaku untuk Windows.
Sebuah analisis dari Cyber Security News mengelompokkan CVE yang dilaporkan ke dalam berbagai jenis kerentanan, dengan menyoroti jumlah CVE yang teridentifikasi dalam setiap kategori sebagai berikut:
Kategori Kerentanan | Jumlah |
Peningkatan Hak Akses | 438 |
Eksekusi Kode Jarak Jauh | 258 |
Pengungkapan Informasi | 173 |
Serangan Penolakan Layanan | 56 |
Penyelewengan Fitur Keamanan | 19 |
Spoofing | 16 |
Perubahan tanpa izin | 13 |
SEGERA untuk Kerentanan yang Sedang Dieksploitasi
- Skor tinggi pada kerentanan yang belum dimanfaatkan oleh siapa pun memiliki risiko operasional yang lebih rendah dibandingkan dengan celah dengan skor sedang yang sedang dimanfaatkan dalam kampanye aktif
PRIORITAS TINGGI untuk Kerentanan Kritis dan Eksekusi Kode Jarak Jauh (RCE) - Dalam waktu seminggu
- Kerentanan Eksekusi Kode Jarak Jauh pada Windows Kerberos (CVE-2026-69676): Pelanggaran proses otentikasi melalui teknik capture-replay pada Windows Kerberos memungkinkan penyerang yang memiliki akses sah untuk menjalankan kode melalui jaringan.
- Kerentanan Eksekusi Kode Jarak Jauh pada Windows DNS Server (CVE-2026-69730), dapat dieksploitasi tanpa otentikasi
NEXT untuk Sistem yang Sangat Penting bagi Bisnis - Dalam rentang waktu standar
- Perbaikan Windows yang masih berstatus Kritis, termasuk masalah terkait Secure Kernel Mode dan enklaf Keamanan Berbasis Virtualisasi
- Sistem Penting bagi Bisnis seperti Office, SQL Server, SharePoint, dan Exchange
BERKELANJUTAN - Aplikasi Pihak Ketiga – Siklus yang sedang berlangsung
- Aplikasi pihak ketiga: peramban, runtime, dan pembaca PDF sama seringnya menjadi sasaran eksploitasi aktif seperti rangkaian produk Microsoft, dan tidak akan muncul dalam ringkasan Patch Tuesday mana pun
- Perangkat yang baru dipasang dan perangkat yang kembali online: sebuah perangkat ujung yang tidak terhubung ke jaringan pada bulan September akan secara otomatis mewarisi seluruh tumpukan tugas yang tertunda begitu perangkat tersebut terhubung kembali
Apa Artinya Hal Ini bagi ISV?
Kerentanan Berkembang Lebih Cepat Dibandingkan Langkah-Langkah Perbaikan Konvensional
Pengelolaan kerentanan secara tradisional memang sudah menjadi tantangan tersendiri. Lingkungan perangkat lunak modern terdiri dari sistem operasi, aplikasi pihak ketiga, pustaka, dependensi, driver, dan komponen yang secara terus-menerus menciptakan permukaan serangan baru.
Kini, berkat AI, hal ini menghadirkan dimensi baru: kecepatan.
- Kerentanan dapat terdeteksi lebih cepat. Model AI dan sistem agen dapat membantu para peneliti dalam menganalisis kode sumber, file biner, dependensi, konfigurasi, dan permukaan serangan dalam skala yang sulit ditiru secara manual.
- Eksploitasi dapat berlanjut dari tahap penemuan hingga penerapan dalam waktu satu hari. Sebuah laporan dari Infosecurity Magazine menyoroti kenyataan baru bahwa model AI memperpendek rentang waktu antara pengungkapan kerentanan dan eksploitasi menjadi kurang dari 24 jam.
- Perbaikan manual tidak dapat mengikuti laju serangan yang dilakukan oleh mesin. Menemukan kerentanan hanyalah langkah awal. Organisasi masih perlu mengidentifikasi titik akhir dan aplikasi yang terpengaruh, menilai tingkat keparahannya, mencari patch yang tersedia, serta menentukan seberapa cepat dan aman patch tersebut dapat diterapkan. Seiring berkembangnya lingkungan perangkat lunak, pengelolaan proses ini secara manual menjadi semakin sulit untuk diskalakan.
Melampaui Patch Tuesday
Patch Tuesday memiliki satu keunggulan: sifatnya dapat diprediksi. Tanggal-tanggalnya diumumkan jauh-jauh hari; pembaruan Windows bersifat kumulatif, dan sebagian besar perusahaan sudah menggunakan perangkat lunak yang dirancang khusus untuk menginstalnya.
Aplikasi pihak ketiga sama sekali tidak menawarkan hal-hal tersebut. Masalahnya bukanlah karena mereka tidak memiliki jadwal, melainkan karena masing-masing aplikasi menggunakan jadwal yang berbeda-beda:
- Google Chrome beralih ke siklus rilis dua minggu pada 8 September 2026, dengan pembaruan darurat di luar siklus tersebut yang diterapkan setiap kali kerentanan zero-day dieksploitasi
- Oracle Java dirilis pada hari Selasa ketiga setiap bulan, dengan Pembaruan Patch Kritis dan Pembaruan Patch Keamanan Kritis triwulanan yang mengisi bulan-bulan di antaranya; jadwalnya mirip dengan Microsoft, tetapi tidak pernah pada minggu yang sama
- Mozilla Firefox beralih ke siklus rilis dua minggu mulai 1 September 2026
- Aplikasi kolaborasi dan produktivitas seperti Zoom, Slack, dan Notion terus diperbarui, dan sering kali pembaruan tersebut dilakukan tanpa pemberitahuan
- Program utilitas dan alat sumber terbuka seperti 7-Zip, Notepad++, dan VLC dirilis tanpa pemberitahuan sebelumnya
Tak satu pun dari pembaruan ini muncul dalam pembaruan kumulatif Windows, dan beberapa di antaranya diinstal oleh pengguna sendiri, bukan melalui citra yang dikelola; artinya, pembaruan tersebut akan hilang dari inventaris sebelum tidak lagi menerima pembaruan.
Bagi para ISV, di sinilah cakupan menjadi faktor pembeda, bukan sekadar persyaratan yang harus dipenuhi. Pelanggan yang sedang mengevaluasi produk Anda biasanya sudah mengatasi masalah pembaruan Microsoft. Yang belum mereka atasi adalah masalah aplikasi pihak ketiga yang jumlahnya sangat banyak, dan itulah celah yang dapat diatasi oleh produk Anda.
"Normal Lama" Tidak Lagi Berlaku
Lanskap keamanan berkembang lebih cepat daripada yang dapat ditangani oleh proses penerapan patch dan pemeriksaan kondisi endpoint tradisional. Bagi para ISV, hal ini berarti kemampuan keamanan yang ada di masa lalu mungkin tidak lagi memadai untuk memenuhi persyaratan keamanan perusahaan saat ini.
- “Apakah antivirus sedang berjalan?” bukanlah pertanyaan yang cukup lagi. Pembeli korporat semakin ingin mengetahui apakah perangkat yang terhubung tersebut belum menginstal patch untuk CVE yang diketahui telah dieksploitasi, bukan sekadar apakah ada agen keamanan di suatu tempat di dalam disk.
- Tim teknik Anda kini harus menghadapi target yang terus berubah. Setiap aplikasi, produk keamanan, versi sistem operasi, dan tingkat patch yang harus dikenali oleh produk Anda semakin menambah beban yang terus membesar. Ketika lebih dari 970 perbaikan dirilis dalam satu bulan, beban pemeliharaan pun semakin bertambah.
- Data kerentanan saja tidak cukup untuk menyelesaikan masalah. Pelanggan perlu memahami apa saja yang terpengaruh, seberapa serius dampaknya, apakah sudah ada solusi, dan tindakan apa yang harus diambil.
- Deteksi tanpa tindakan perbaikan membuat pelanggan tetap rentan. Mengidentifikasi aplikasi yang rentan hanya akan bermanfaat jika pelanggan dapat bertindak cepat untuk mengurangi risiko tersebut.
Meninjau Kembali Penawaran Anda
Jika para penyerang bergerak secepat kecerdasan buatan (AI), para penyedia perangkat lunak independen (ISV) perlu memikirkan kembali apa saja yang dapat dilakukan pelanggan melalui produk mereka. Manajemen patch tidak lagi bisa menjadi proses berkala dan manual. Proses ini harus menjadi berkelanjutan, lebih cepat, lebih cerdas, dan lebih mudah ditindaklanjuti.
Bagi ISV, hal itu berarti mengembangkan kemampu vulnerability detection , dan manajemen patch yang membantu pelanggan:
- Pertahankan visibilitas yang berkelanjutan. Berikan pelanggan gambaran terkini mengenai aplikasi dan titik akhir yang rentan, sehingga mereka dapat mengidentifikasi risiko paparan begitu risiko tersebut muncul, bukan berminggu-minggu setelah penilaian terakhir.
- Perbaikan, bukan sekadar pelaporan. Memberitahu administrator bahwa suatu perangkat sudah ketinggalan zaman atau memiliki kerentanan tidaklah berarti banyak jika jendela eksploitasi hanya 24 jam. Jadikan penerapan patch sebagai bagian dari alur kerja produk yang sudah ada, alih-alih mengharuskan pelanggan berpindah-pindah di antara berbagai alat keamanan dan manajemen TI.
- Berikan konteks eksploitasi yang lebih jelas, bukan sekadar angka mentah. Berikan pelanggan kemampuan untuk membedakan kerentanan zero-day yang sedang dieksploitasi secara aktif dari lebih dari 970 perbaikan lainnya dalam rilis yang sama.
- Prioritaskan hal yang paling penting. Bantu pelanggan menyaring volume CVE yang terus meningkat dengan sistem cerdas yang mengidentifikasi kerentanan mana saja yang memerlukan penanganan segera. Prioritisasi otomatis mengubah data kerentanan menjadi keputusan perbaikan yang dapat ditindaklanjuti.
Ini berarti pengelolaan kerentanan dan pembaruan tidak lagi sekadar fungsi keamanan di bagian belakang. Hal ini dapat secara langsung memengaruhi nilai produk, pengalaman pelanggan, dan kemampuan ISV untuk bersaing.
Bagaimana Kerangka Kerja OESIS dari OPSWAT Dapat Diterapkan
OPSWATKerangka Kerja OESIS dari [nama perusahaan] adalah SDK keamanan endpoint yang dapat diintegrasikan, yang memberikan ISV antarmuka tunggal dan konsisten untuk mengevaluasi serta melakukan penambalan otomatis pada sistem operasi dan ribuan aplikasi endpoint di platform Windows, macOS, dan Linux, dengan cakupan yang selalu diperbarui secepat munculnya kerentanan baru.
“Di dunia di mana kecerdasan buatan (AI) dapat mempercepat penemuan dan eksploitasi kerentanan, keamanan tidak boleh hanya berhenti pada tahap deteksi. Para penyedia perangkat lunak independen (ISV) harus memanfaatkan peluang ini untuk mengubah informasi kerentanan menjadi tindakan nyata, membantu pelanggan mengidentifikasi risiko, memprioritaskan hal-hal yang penting, serta menangani risiko-risiko yang telah diprioritaskan tersebut secara efisien dan cepat.” Brent Beachem, Direktur Produk
Dengan OESIS Framework, perusahaan dapat mengidentifikasi, mengevaluasi, dan memetakan lebih dari 98.500 CVE unik serta lebih dari 175.000 insiden kerentanan, dengan dukungan untuk lebih dari 1.000 aplikasi. Platform ini secara otomatis mendeteksi patch yang belum terpasang dan menangani kerentanan pada ratusan aplikasi pihak ketiga serta sistem operasi.
Dengan mengintegrasikan fitur penilaian kerentanan dan pengelolaan patch ke dalam produk Anda, Anda dapat memberikan alur kerja keamanan yang lebih lengkap kepada pelanggan, mulai dari mengidentifikasi kerentanan hingga memprioritaskan dan memperbaikinya, tanpa memaksa mereka untuk berpindah-pindah antara berbagai alat yang tidak terintegrasi.
Jangan hanya membantu pelanggan menemukan kerentanan. Bantu mereka menutup celah kerentanan dengan lebih cepat dan efisien.
