Patch Tuesday Microsoft bulan November 2026: Satu Kerentanan dari 1.095 Kerentanan Mendapat Skor 6,5, dan Sedang Menjadi Sasaran Serangan

Satu-satunya kerentanan Microsoft yang dieksploitasi bulan ini diberi peringkat “Sedang” — dan memiliki peringkat kematangan eksploitasi tertinggi yang pernah dikeluarkan oleh Microsoft. Kerentanan tersebut ditemukan oleh seorang peneliti menggunakan kecerdasan buatan (AI), dan sudah dimanfaatkan di dunia nyata. Sementara itu, bug yang benar-benar berhasil menguasai firewall bulan ini sama sekali bukan milik Microsoft.

Sekilas

Jumlah entri yang tercantum adalah CVE yang diklasifikasikan oleh Microsoft dengan peringkat Dampak, tidak termasuk 267 CVE pihak ketiga yang diterbitkan ulang (paket Azure Linux / Mariner, CVE Chromium yang ditetapkan oleh Google). Termasuk yang disebutkan tadi, dokumen ini memuat 1.362 baris. Tenable dan Krebs melaporkan 1.093, ZDI sekitar 1.090, sedangkan BleepingComputer 1.235 dengan dasar perhitungan yang berbeda. Data kami berasal dari revisi tanggal 11 November. Angka bulan November ini turun 23% dari 1.418 pada bulan Oktober — bulan kedua dengan angka empat digit, namun bukan rekor baru.

Rilis, berdasarkan kelas dampak

1.095 CVE yang dibuat oleh Microsoft.

Peningkatan hak akses mencakup 49% dari kerentanan yang diungkap dan memerlukan titik masuk terlebih dahulu. Eksekusi kode jarak jauh adalah jenis serangan yang dapat dilakukan tanpa memerlukan titik masuk tersebut. Tenable mencatat ada 287 produk yang terpengaruh; yang paling banyak terpengaruh adalah Office Word (65), Office Excel (64), dan SQL Server (53).

Yang sebenarnya penting bulan ini

Lima hal, berdasarkan urutan prioritas.

1. Satu-satunya celah keamanan Microsoft yang dieksploitasi mendapat skor 6,5 — dan Microsoft menilai tingkat kematangan eksploitasi tersebut sebagai "Tinggi"

Itulah tingkat tertinggi dalam skala tersebut: kode eksploit yang tersedia secara luas dan andal. CVE-2026-124194 adalah celah keamanan di Outlook yang menyebabkan kebocoran hash NTLM, dan skor CVSS-nya terlalu rendah karena dampaknya hanya terkait kerahasiaan serta memerlukan interaksi pengguna. Dari 1.095 CVE, 1.084 di antaranya diberi peringkat Belum Terbukti dan satu lainnya berada pada tingkat Proof-of-Concept. CVSS menyatakan "Moderate". Tingkat kematangan eksploit menunjukkan bahwa serangan dapat dilakukan sekarang.

2. Patch-nya tidak termasuk dalam pembaruan kumulatif Windows

Pembaruan tersebut akan dirilis pada pembaruan keamanan pembaruan keamanan — Microsoft 365 Apps for Enterprise dan Office LTSC 2021/2024 — bukan KB5132061. Lingkungan yang menerapkan paket pembaruan bulanan Windows dan menganggapnya sudah selesai tetap akan rentan. Batas waktu yang ditetapkan CISA adalah 24 November.

3. AI muncul di kedua sisi bulan yang sama

Microsoft mengaitkan penemuan celah keamanan di Outlook ini dengan seorang peneliti yang bekerja “menggunakan Claude dari Anthropic” — dan celah tersebut sudah dimanfaatkan saat ditemukan. Dalam peristiwa yang sama, para penyerang memanfaatkan bantuan AI untuk membangun rantai eksploitasi php2shell yang berhasil menguasai firewall Palo Alto. Baik penemuan maupun pemanfaatannya berlangsung dengan cepat, dalam siklus berita yang sama.

4. Kerugian sesungguhnya bulan ini berasal dari PHP, bukan Microsoft

CVE-2026-109618 dan CVE-2026-109619 merupakan kerentanan RCE tanpa otentikasi di inti PHP itu sendiri — EPSS 0,9999, yang merupakan nilai tertinggi di antara semua CVE dalam periode ini. Honeypot Amazon mendeteksi upaya eksploitasi empat hari sebelum pengumuman publik, saat informasi tersebut masih dalam masa embargo. Setidaknya 25 firewall Palo Alto berhasil diretas. Tidak ada satupun yang tercantum dalam pembaruan Patch Tuesday.

5. Volume terus menurun seiring berkurangnya risiko

1.095 CVE Microsoft, satu di antaranya dieksploitasi — 0,09%. Data VulnCheck menunjukkan bahwa jumlah CVE yang dipublikasikan naik 45% secara tahunan, sementara jumlah CVE yang dikonfirmasi telah dieksploitasi meningkat 10%, dan persentase yang dieksploitasi turun menjadi 1,4% dari puncaknya sebesar 2,7%. Namun, waktu median dari publikasi hingga eksploitasi turun dari 120 hari menjadi 80 hari. Tumpukan kerentanan semakin menipis; waktu sebelum eksploitasi semakin singkat.

Panduan mitigasi

Lima perbaikan dari Microsoft yang membutuhkan rencana, bukan sekadar patch. Untuk masing-masing: apa yang sebenarnya dilakukan penyerang dengan celah tersebut, hal-hal apa saja yang perlu diperhatikan di lingkungan sistem Anda, dan langkah-langkah apa saja yang perlu diambil selain menginstal pembaruan tersebut.

CVE-2026-124194 — Microsoft Outlook, kebocoran hash NTLM

TELAH DIEKSPLOITASI · CVSS 6,5 · Tingkat kematangan eksploit: Tinggi · KEV jatuh tempo pada 24 November 2026 · CWE-356

Microsoft mengklasifikasikannya sebagai spoofing; secara fungsional, ini merupakan kebocoran kredensial. Sebuah berkas pesan yang dirancang khusus membuat Outlook terhubung ke lokasi yang dikendalikan penyerang tanpa peringatan konten eksternal yang biasa muncul, dan Windows kemudian melakukan otentikasi secara otomatis, sehingga menyerahkan hash NTLMv2 pengguna. Skor 6,5 mencerminkan dampak yang hanya berkaitan dengan kerahasiaan serta interaksi yang diperlukan — skor tersebut tidak menyebutkan apa pun mengenai nilai dari kredensial domain yang diteruskan.

Bagaimana para penyerang memanfaatkan celah ini

• Kirim berkas pesan yang telah dirancang; pengguna membukanya. Panel Pratinjau bukanlah vektor — berkas tersebut harus dibuka.
• Outlook terhubung ke server eksternal dan Windows melakukan otentikasi otomatis, sehingga mengekspos hash NTLMv2.
• Gunakan secara langsung pada layanan apa pun yang tidak mendukung penandatanganan SMB/LDAP atau Perlindungan Tambahan untuk Otentikasi, atau retas secara offline sesuka hati.

Hal-hal yang perlu diperhatikan

• SMB keluar (port 445) ke tujuan eksternal tak lama setelah berkas pesan dibuka.
• Upaya otentikasi NTLM ke tujuan di internet — periksa log peristiwa Operasional NTLM.
• Apakah penandatanganan SMB, penandatanganan LDAP, dan EPA benar-benar diterapkan. Ketiga hal itulah yang mengubah hash yang bocor akibat insiden pelanggaran menjadi masalah yang merepotkan.
• Belum ada IOC yang dipublikasikan dan belum ada pelaku yang disebutkan namanya, sehingga pencarian berdasarkan pola perilaku menjadi satu-satunya pilihan.

Panduan mitigasi

• Terapkan pembaruan Office, bukan hanya paket pembaruan Windows. Microsoft 365 Apps for Enterprise dan Office LTSC 2021/2024 sudah mencakup perbaikan tersebut. Ini adalah satu-satunya cara yang paling mungkin membuat Anda mengira telah menerapkan patch, padahal sebenarnya belum.
• Titik akhir lebih dulu daripada server. Pengiriman dilakukan melalui email dan sasarannya adalah seseorang.
• Terapkan penandatanganan SMB dan LDAP serta Perlindungan Tambahan untuk Otentikasi jika Anda belum melakukannya. Langkah-langkah ini akan menangkis serangan relay pada setiap varian serangan serupa di masa mendatang, bukan hanya pada CVE ini saja.
• Blokir lalu lintas SMB keluar di perbatasan jaringan. Jarang sekali ada alasan yang sah untuk itu.

CVE-2026-116928 — Komponen Pencarian Windows, Eksekusi Kode Jarak Jauh

KRITIS · CVSS 9,8 · AV:N / PR:N / UI:N · Pemicu: lampiran yang diindeks · Belum dieksploitasi

RCE pra-otentikasi tanpa interaksi pengguna. Hal yang membuatnya lebih berbahaya daripada kerentanan 9.8 lainnya: lampiran berbahaya yang dikirim ke server Exchange akan diproses secara otomatis saat diindeks. Tidak ada yang membuka apa pun. Kerentanan ini perlu ditambal baik di Windows maupun di Exchange agar benar-benar teratasi.

Bagaimana para penyerang memanfaatkan celah ini

• Kirim lampiran yang telah disiapkan ke kotak surat mana pun di server Exchange yang telah mengaktifkan fitur pengindeksan.
• Pencari indeks menganalisis dan menjalankannya, sebelum pesan tersebut dilihat oleh manusia.

Hal-hal yang perlu diperhatikan

• Server Exchange yang telah mengaktifkan pengindeksan konten — yang mencakup sebagian besar di antaranya.
• Proses anak yang tidak terduga dari pengindeks pencarian atau komponen transportasi Exchange.
• Server file yang telah mengaktifkan Windows Search pada folder bersama yang memungkinkan pengunggahan.

Panduan mitigasi

• Patch keduanya Windows maupun Exchange. Setengah dari perbaikan tersebut masih meninggalkan celah keamanan.
• Tangani hal ini dengan tingkat urgensi yang sama seperti pada item yang dieksploitasi — tanpa otentikasi, tanpa interaksi, dan menggunakan mekanisme pengiriman yang sudah diterapkan oleh setiap organisasi.
• Pastikan pembaruan tersebut telah sampai ke semua server dalam DAG, bukan hanya server yang Anda uji.

CVE-2026-119958 — LDAP Windows, Eksekusi Kode Jarak Jauh

KRITIS · CVSS 9,8 · Penulisan di luar batas · AV:N / PR:N / UI:N · Belum dieksploitasi

Penulisan di luar batas yang tidak terotentikasi pada layanan LDAP. LDAP berjalan di setiap pengontrol domain, sehingga masalah ini setara dengan masalah DNS pada bulan November: layanan yang rentan dan aset paling berharga berada di host yang sama.

Bagaimana para penyerang memanfaatkan celah ini

• Kirim lalu lintas LDAP yang telah dirancang ke pengontrol domain yang dapat dijangkau. Tanpa kredensial, tanpa mengklik apa pun.
• Jalankan dalam konteks layanan LDAP — pada DC, yaitu direktori itu sendiri.

Hal-hal yang perlu diperhatikan

• Jaringan mana saja yang dapat mencapai 389/636 di pusat data Anda? Jawabannya biasanya adalah “lebih banyak daripada yang Anda harapkan”.
• Layanan LDAP mengalami crash atau restart tanpa adanya perubahan yang sesuai.
• DC yang terpapar pada segmen tamu, akses jarak jauh, atau OT.

Panduan mitigasi

• Kontroller domain harus didahulukan, sebelum infrastruktur server secara umum. Semua komponen lain dalam direktori bergantung pada mereka.
• Batasi aksesibilitas LDAP selama proses peluncuran. Pengendalian jaringan hanya memberikan waktu tambahan; hanya patch yang dapat memperbaiki bug tersebut.
• Selagi Anda berada di sana: jika penandatanganan LDAP tidak diberlakukan, bulan ini memberi Anda dua alasan terpisah untuk memperbaikinya.

CVE-2026-88218 — Windows DNS Server, Eksekusi Kode Jarak Jauh

KRITIS · CVSS 9,8 · AV:N / PR:N / UI:N · 4 CVE DNS pada siklus ini · Belum dieksploitasi

Eksekusi kode jarak jauh tanpa otentikasi di DNS Windows, salah satu dari empat kerentanan DNS pada siklus ini dan termasuk dalam 30 CVE yang dikategorikan ZDI sebagai kerentanan yang dapat dimanfaatkan oleh worm. Di sebagian besar lingkungan jaringan, layanan DNS ( Server ) berjalan di pengontrol domain, sehingga kerentanan ini berdampak pada lokasi yang sama dengan kerentanan LDAP di atas — yang berarti satu jendela pemeliharaan saja sudah cukup untuk mengatasi keduanya.

Bagaimana para penyerang memanfaatkan celah ini

• Kirimkan paket yang telah disusun ke server DNS Windows mana pun yang dapat dijangkau.
• Dijalankan dalam konteks layanan DNS; pada DC yang berada di server yang sama, hal ini merupakan jalur langsung menuju kompromi domain.

Hal-hal yang perlu diperhatikan

• Server DNS yang berbagi host dengan Active Directory — lakukan inventarisasi sebelum menjadwalkan, bukan saat proses berlangsung.
• DNS Windows dapat diakses dari VLAN pengguna, rentang akses jarak jauh, atau internet.
• Tiga CVE DNS lainnya dalam rilis ini; perbaiki semuanya sebagai satu kesatuan.

Panduan mitigasi

• Gabungkan dengan patch LDAP ke dalam satu jendela pemeliharaan DC. Kehadiran dua instance 9.8 di host yang sama menjadi alasan yang cukup untuk memajukan jadwal jendela pemeliharaan tersebut.
• "Hanya untuk penggunaan internal" bukanlah langkah mitigasi jika titik masuk awalnya adalah laptop yang menjadi korban phishing.
• Periksa kondisi layanan setelah penerapan rollup — empat perbaikan DNS dalam satu siklus menimbulkan risiko regresi yang lebih besar daripada biasanya.

CVE-2026-119952 — Windows Schannel, Eksekusi Kode Jarak Jauh

KRITIS · CVSS 8.1 · Kemungkinan dieksploitasi lebih tinggi · AV:N / PR:N / UI:N · Belum dieksploitasi

Schannel adalah implementasi TLS pada Windows — komponen ini berada di balik setiap proses yang mengakhiri koneksi terenkripsi. Skornya memang lebih rendah daripada kerentanan-kerentanan di atas, namun ini merupakan salah satu dari sedikit peringkat “Exploitation More Likely” dalam rilis tersebut, yang menunjukkan bahwa Microsoft memberi petunjuk dari mana mereka memperkirakan eksploitasi berikutnya akan berasal.

Bagaimana para penyerang memanfaatkan celah ini

• Akses layanan apa pun yang mengakhiri koneksi TLS melalui Schannel — IIS, RDP, LDAPS, SMB melalui TLS.
• Jalankan selama proses handshake, sebelum tahap otentikasi tercapai.

Hal-hal yang perlu diperhatikan

• Setiap layanan Windows yang terhubung ke internet dan mengakhiri koneksi TLS. Cakupan yang terpengaruh lebih luas daripada yang disiratkan oleh nama produk mana pun.
• Kesalahan Schannel atau kegagalan handshake yang muncul berulang kali dalam log peristiwa sistem.

Panduan mitigasi

• Berikan bobot lebih pada penilaian Microsoft daripada skor 8,1. “Kemungkinan Eksploitasi Lebih Tinggi” merupakan penilaian yang berorientasi ke masa depan; sedangkan CVSS hanyalah deskripsi statis.
• Pertama, terminator TLS yang terhubung ke internet, baru kemudian yang internal.
• Tidak ada solusi alternatif melalui pengaturan — Schannel tidak dapat dinonaktifkan. Pembaruan itulah yang menjadi pengaturnya.

Rilis dari pihak ketiga

Di mana sebenarnya eksploitasi itu terjadi. Empat puluh dua dari empat puluh tiga CVE yang dikonfirmasi telah dieksploitasi dalam periode ini berasal dari pihak di luar Microsoft. Sembilan di antaranya adalah perangkat tepi atau perangkat perbatasan.

PHP dan Palo Alto

php2shell · EPSS 0,9999 · TELAH DIEKSPLOITASI

CVE-2026-109618 dan CVE-2026-109619 merupakan kerentanan RCE tanpa otentikasi di inti PHP itu sendiri, yang diungkapkan pada 21 Oktober. Salah satunya menyebabkan kerusakan memori selama proses pembersihan permintaan setelah kondisi kehabisan memori; yang lainnya memanfaatkan status permintaan yang sudah kadaluwarsa pada worker yang didaur ulang. Kerentanan ini memengaruhi setiap instalasi PHP yang melayani permintaan web — PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed — dengan mod_php sebagai yang paling rentan, karena eksploitasi terjadi sebelum kode aplikasi dijalankan. Masalah ini telah diperbaiki pada PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35.

Honeypot MadPot milik Amazon mencatat adanya upaya eksploitasi pada 17 Oktober, empat hari sebelum pengungkapan dan masih dalam masa embargo. Para penyerang menggabungkannya dengan celah peningkatan hak akses kernel bernama Fragnesia untuk menyebarkan web shell root pada antarmuka manajemen firewall Palo Alto; Dream Research menemukan setidaknya 25 yang terkompromi. Palo Alto: “Tidak diperlukan konfigurasi khusus agar terpengaruh.” Menurut SecurityWeek, para penyerang menggunakan bantuan AI untuk membangun rantai serangan tersebut.

Ivanti

Connect Secure · rantai tertutup · DIEKSPLOITASI

Laporan singkat bulan Oktober menunjukkan bahwa rantai Connect Secure memiliki satu tautan yang belum diperbaiki. Masalah tersebut kini telah ditangani. CVE-2026-111357 (CVSS 8,8, tidak adanya otentikasi pada layanan pemeliharaan root dsinvoked) dan CVE-2026-118527 (4,3, pengidentifikasi yang dapat diprediksi yang memungkinkan terjadinya race condition saat mengunggah) dirilis pada 29 Oktober dalam versi 25.1.1.3 dan 22.8R2.6. Keduanya masuk ke KEV pada 30 Oktober; batas waktu untuk 118527 adalah 13 November — tinggal dua hari lagi.

Penjelasan Volexity mengenai UTA0576 patut dibaca: tahap dsinvoked menjalankan muatan Python yang untuk sementara memodifikasi pustaka dalam memori, mengalihkan tugas pemeliharaan agar dijalankan sebagai root, lalu mengembalikan konfigurasi dan kondisi memori semula. Tidak ada web shell, tidak ada backdoor yang menetap — perintah dikirim melalui permintaan HTTPS yang berulang. Tahap pasca-eksploitasi berhasil mengekstrak kata sandi admin LAPS Windows dan kunci pemulihan BitLocker. Perangkat yang disusupi tersebut telah diperbarui sepenuhnya pada saat itu. “Hasil pemeriksaan integritas yang bersih saja tidak dapat mengesampingkan kemungkinan adanya kompromi.”

Adobe

110 CVE · 9 buletin · KRITIS

Adobe Connect menjadi berita utama — APSB26-191, 24 CVE di antaranya 18 berlevel Kritis, dengan skor CVSS tertinggi 10,0, dan dapat diakses melalui jaringan tanpa otentikasi serta tanpa interaksi pengguna. ZDI menyebutnya sebagai buletin Adobe terbesar dan paling parah bulan ini. Experience Manager (APSB26-189) menambahkan 14 kerentanan lainnya, termasuk empat dengan skor 9,9 yang hanya memerlukan akun dengan hak akses rendah.

Hanya kedua buletin tersebut yang termasuk Prioritas 2; sedangkan tujuh buletin lainnya termasuk Prioritas 3. Tidak ada kerentanan dalam paket Adobe bulan ini yang dimanfaatkan — namun CVE-2026-48356, yaitu kerentanan unggah berkas tanpa batasan di Commerce dan Magento, masuk ke KEV pada 27 Oktober dengan skor EPSS sebesar 0,475. Ini merupakan bulan ketiga berturut-turut ketika celah keamanan di Adobe Commerce dikonfirmasi telah dieksploitasi.

SAP

43 catatan · 12 HotNews · KRITIS

Onapsis menyebutnya sebagai rekor: 43 Catatan Keamanan baru dan yang diperbarui, 12 HotNews, serta empat kerentanan CVSS 10.0, semuanya tanpa otentikasi. Dua di antaranya adalah pasangan kerentanan kerusakan memori ICM2SHELL — CVE-2026-76964 (NetWeaver AS ABAP) dan CVE-2026-89126 (Web Dispatcher dan HANA XSA). CVE-2026-89103 adalah PROXYGATE, yaitu kerusakan kontrol akses di SAP Gateway, sedangkan CVE-2026-120017 adalah ketidakhadiran otentikasi di penyedia layanan SAML2 NetWeaver.

Dua perangkap operasional. PROXYGATE memerlukan perubahan parameter profil secara manual setelah penerapan patch — patch tersebut saja tidak cukup untuk menutupnya. Selain itu, solusi sementara untuk menonaktifkan WebSocket pada ICM2SHELL secara eksplisit tidak direkomendasikan oleh SAP. Para peneliti telah menyerahkan eksploit yang berfungsi kepada SAP; belum ada laporan eksploitasi di dunia nyata hingga saat ini.

Perangkat tepi

Citrix · SonicWall · Barracuda · DIEKSPLOITASI

Barracuda adalah yang terbaru: CVE-2026-116606 (bypass otentikasi) dan CVE-2026-111560 (injeksi perintah sistem operasi) secara eksplisit dirangkai, Barracuda mengonfirmasi serangan terhadap “sejumlah kecil organisasi”, watchTowr telah menerbitkan kode eksploit, dan keduanya dijadwalkan pada 13 November.

Kerentanan SonicWall CVE-2026-19868 (7.1) memungkinkan pengguna dengan kredensial non-SAML yang valid untuk melewati otentikasi dua faktor (MFA) yang diberlakukan melalui SAML pada SSL-VPN. Tidak ada solusi sementara; pembaruan yang tersedia adalah versi 7.3.4-7013 dan 8.2.3-8015, yang dijadwalkan rilis pada 20 November. Citrix merilis CVE-2026-107406 (CVSS 9.5, NetScaler yang dikonfigurasi dengan SAML) pada 8 Oktober, serta paket pembaruan terpisah untuk php2shell pada versi 14.1-73.49 / 13.1-64.32 yang juga mencakup perbaikan untuk bulan September dan Oktober.

Mozilla Firefox

160 · 99 CVE · TIDAK ADA EKSPLOITASI

Firefox 160 (MFSA 2026-125) dirilis pada Patch Tuesday dengan 99 CVE — 57 tingkat Tinggi, 24 tingkat Sedang, 18 tingkat Rendah, dan tidak ada yang Kritis. ESR 115.45 dan 153.7 juga dirilis bersamaan, ditambah Thunderbird 160 dan 153.7. Jumlah 99 kerentanan dalam satu rilis peramban jauh melebihi norma historis Mozilla dan mengikuti pola volume yang sama dengan Microsoft, meskipun Mozilla belum secara terbuka mengaitkannya dengan penemuan yang dibantu AI.

Apple

Sebuah CVE tahun 2024, kini telah dimanfaatkan untuk serangan · TELAH DIEKSPLOITASI

Pada 9 November, Apple merilis pembaruan untuk iOS/iPadOS versi 27.2.1, 26.7.3, dan 18.7.12, serta tiga cabang macOS. Adanya tiga cabang iOS yang dirilis secara bersamaan itu sendiri merupakan sebuah sinyal — Lee Neely dari SANS: “Saya memperhatikan ketika Apple merilis perbaikan untuk lebih dari dua versi.”

Masalah yang lebih menarik justru yang lebih lama. CVE-2024-27834 — celah bypass otentikasi pointer dengan skor CVSS 5,5 yang telah diperbaiki Apple pada Mei 2024 — masuk ke dalam KEV pada 4 November. Sekoia mengaitkan eksploitasi tersebut dengan APT29 / Midnight Blizzard, yang disebarkan melalui situs-situs sah yang telah diretas dan serangan rantai pasokan terhadap pelacak SEO Plerdy, dalam rantai serangan zero-click yang berakhir dengan infostealer pencuri cookie. Sebuah celah keamanan tingkat sedang yang berusia dua setengah tahun, dimanfaatkan oleh aktor negara.

Apa Artinya Hal Ini Jika Anda Melakukan Pengiriman Software

Pola yang menjadi ciri khas bulan ini bukanlah volume. Melainkan fakta bahwa dua peristiwa paling signifikan — penemuan satu-satunya celah keamanan Microsoft yang dieksploitasi, dan peretasan firewall Palo Alto — keduanya melibatkan bantuan AI, di pihak yang berlawanan, dalam rentang waktu tiga minggu. Seorang peneliti menggunakannya untuk menemukan bug yang sudah dieksploitasi. Seorang penyerang menggunakannya untuk membangun rantai serangan yang berhasil menguasai perangkat produksi.

Dan hal yang sebenarnya menyebabkan sistem orang-orang diretas adalah PHP: sebuah dependensi, bukan produk. Mengetahui apa saja yang ada di dalam produk Anda dan di titik akhir (endpoint) Anda sebelum CVE tersebut terdeteksi adalah kunci utamanya. Itulah rantai yang dipetakan oleh OESIS Detection & Patching Dashboard: aplikasi apa saja yang terpasang, CVE apa saja yang terkandung di dalamnya, dan apakah patch-nya sudah tersedia.

Matriks prioritas

Empat kategori, dimulai dari yang paling parah. Kategori ini ditentukan berdasarkan tingkat paparan dan eksploitasi, bukan berdasarkan CVSS — itulah sebabnya skor 6,5 berada di urutan teratas, sedangkan skor 10,0 berada di urutan terbawah. Cakupannya disesuaikan dengan perangkat lunak yang benar-benar digunakan oleh sebagian besar organisasi; kumpulan data lengkap mencakup seluruh 43 CVE yang telah dieksploitasi dan setiap vendor dalam siklus tersebut.

P1 — SEKARANG Dalam waktu 24 jam 19 dari 43 telah dieksploitasi

Telah dikonfirmasi dimanfaatkan di dunia nyata — teramati, bukan diprediksi. Diurutkan berdasarkan yang terbaru terlebih dahulu: baris-baris teratas adalah hal-hal yang belum dibahas pada siklus sebelumnya.

Baris Microsoft dan Chrome tidak memiliki nilai EPSS karena model belum memberikan skor untuk keduanya saat tangkapan layar ini diambil. 24 CVE yang dieksploitasi lainnya terdapat pada server media, perangkat cadangan, perangkat pengembangan, dan batch lama tanggal 8 Oktober; seluruh 43 CVE tersebut dapat dicari di Dasbor CVE OPSWAT .

P2 — MINGGU INI Dalam waktu 72 jam 12 dari 32

Windows, tanpa otentikasi, dapat dijangkau melalui jaringan, tanpa interaksi pengguna. Anda tidak perlu mengklik apa pun agar hal-hal ini memengaruhi tingkat kerentanan Anda. Peran Server didahulukan — dan perlu diperhatikan bahwa DNS dan LDAP keduanya berada di pengontrol domain.

Tidak ada kolom EPSS bulan ini. Pada saat snapshot ini diambil, model tersebut baru mencatat 1 dari 1.095 CVE Microsoft — dibandingkan dengan cakupan yang hampir penuh pada bulan Oktober, dari eksekusi yang dilakukan pada jam yang hampir sama. Skor EPSS tiba sesuai jadwalnya sendiri, dan kolom yang berisi tanda hubung menandakan risiko rendah, bukan tidak ada data. Untuk eksploitasi yang telah dikonfirmasi, hal itu memang tidak pernah menjadi sinyal peringkat yang tepat.

P3 — SIKLUS INI Dalam waktu 7 hari 8 CVE

Kritikal dan dapat dijangkau, tetapi masing-masing memerlukan prasyarat — kredensial, sesi yang terotentikasi, atau berkas yang telah dikirimkan. Baris Proof-of-Concept harus dimasukkan ke dalam kategori kematangan eksploitasi ini, terlepas dari skornya.

P4 — TIDAK ADA TINDAKAN Hanya untuk informasi 4 CVE

Dari sisi layanan. Microsoft telah memperbaiki masalah ini di lingkungan mereka sendiri; pelanggan tidak perlu melakukan apa pun untuk mengimplementasikannya. Mereka melakukan penyortiran berdasarkan skor CVSS mentah setiap bulan — dan itulah tepatnya alasan mengapa mereka dicantumkan di sini, bukan dibiarkan begitu saja hingga membingungkan orang lain.

Rencana 72 jam

Apa yang tidak diungkapkan oleh matriks prioritas.

Apa yang akan datang selanjutnya dalam kalender

Sumber

Pertama-tama, pemberitahuan dari vendor utama.

1. Pusat Tanggap Keamanan Microsoft, dokumen CVRF 2026-Nov, revisi 11 November 2026 — daftar CVE kanonik, nilai CVSS yang ditetapkan oleh Microsoft, dan vektor waktu.
2. Katalog Kerentanan yang Diketahui Telah Dieksploitasi oleh CISA dan FIRST EPSS.
3. Zero Day Initiative, Ulasan Pembaruan Keamanan November 2026.
4. Tenable, Patch Tuesday bulan November 2026 menangani 1.093 CVE; Krebs on Security; Rapid7.
5. Pemberitahuan dari PHP Group terkait CVE-2026-109618 dan CVE-2026-109619; pelacak produk php2shell dari NCSC-NL; artikel SecurityWeek mengenai insiden peretasan di Palo Alto.
6. Volexity mengenai UTA0576 dan Ivanti Connect Secure; pemberitahuan keamanan Ivanti terkait CVE-2026-111357 dan CVE-2026-118527.
7. Onapsis, Hari Pembaruan Keamanan SAP, November 2026.
8. Buletin Keamanan Adobe (APSB26-191, -189, dan lainnya).
9. Mozilla, MFSA 2026-125 (Firefox 160).
10. Citrix CTX697191; SonicWall SNWLID-2026-0014; pemberitahuan keamanan Barracuda; The Hacker News mengenai CVE-2024-27834 dan APT29.
11. VulnCheck mengenai kerentanan yang terdeteksi oleh AI dan tingkat eksploitasi.

Metodologi. Jumlah yang tercantum adalah CVE yang diklasifikasikan oleh Microsoft dengan peringkat Dampak dalam CVRF, tidak termasuk 267 CVE pihak ketiga yang diterbitkan ulang. Nilai CVSS dan tingkat kematangan eksploitasi Microsoft ditetapkan oleh vendor berdasarkan CVRF; nilai CVSS pihak ketiga bersumber dari NVD atau vendor terkait jika CISA tidak mempublikasikannya. EPSS adalah model prediksi dan hanya dilaporkan, tidak pernah digunakan untuk menentukan peringkat eksploitasi yang telah dikonfirmasi — bulan ini, model tersebut hanya memberikan skor pada satu dari 1.095 CVE Microsoft pada saat pengambilan data, itulah sebabnya model ini tidak tercantum dalam tabel Microsoft. Matriks prioritas ini difokuskan pada perangkat lunak perusahaan utama; dataset dasarnya mencakup semua 43 CVE yang dikonfirmasi telah dieksploitasi antara 8 Oktober dan 10 November, serta setiap vendor dalam siklus tersebut. Status eksploitasi mencerminkan konfirmasi CISA KEV dan konfirmasi dari vendor pihak pertama, bukan klaim pihak ketiga.

Data per 11 November 2026. CISA KEV dan EPSS diperbarui secara berkelanjutan, dan Microsoft merevisi CVRF setelah dirilis — angka-angka di sini mencerminkan revisi tanggal 11 November dan katalog sebagaimana adanya pada pagi hari itu. Panduan mitigasi bersifat umum dan disusun berdasarkan karakteristik yang dipublikasikan untuk setiap kerentanan; panduan ini tidak dimaksudkan sebagai pengganti pengujian di lingkungan Anda sendiri.