Microsoft menambal 1.411 kerentanan keamanan dalam Patch Tuesday Oktober 2026, angka tertinggi yang pernah tercatat dalam satu siklus pembaruan bulanan perusahaan itu. Tujuh puluh di antaranya berkategori Kritis, dan satu celah sudah benar-benar dipakai penyerang sebelum patch tersedia. Bagi instansi pemerintah, pemerintah desa, sekolah, dan UMKM yang sehari-hari bekerja di atas Windows, ini bukan berita teknologi biasa: laptop operator, komputer layanan publik, sampai server aplikasi bisa menjadi sasaran.

Apa saja yang ditambal

Dari 1.411 celah yang dirilis pada 13 Oktober 2026, sebarannya menurut kategori adalah:

• 677 elevation of privilege (penyerang menaikkan hak akses)
• 317 remote code execution (kode berbahaya dijalankan dari jarak jauh)
• 254 information disclosure (kebocoran data)
• 73 denial of service
• 40 security feature bypass
• 28 spoofing

Dari 70 celah Kritis, 57 di antaranya berjenis remote code execution, 11 elevation of privilege, dan 2 spoofing. Angka 1.411 ini belum termasuk 348 celah lain yang ditambal Microsoft lebih awal pada Oktober di layanan seperti Exchange Server, Azure, dan Microsoft Partner Center. Lonjakan jumlah temuan salah satunya dipicu pemakaian kecerdasan buatan oleh Microsoft untuk menyisir kode mereka sendiri — artinya kita akan melihat angka besar seperti ini lebih sering, dan kebiasaan menambal harus ikut menyesuaikan.

Tiga celah tanpa "hari nol"

Yang paling mendesak adalah tiga kerentanan yang sudah diketahui publik atau sudah dieksploitasi:

1. CVE-2026-96951 — Windows Shell Security Feature Bypass. Ini satu-satunya celah yang sudah aktif diserang. Microsoft menyebut adanya command injection di Windows Shell yang memungkinkan penyerang melewati fitur keamanan Mark of the Web lewat jaringan. Mark of the Web adalah label yang menandai file hasil unduhan dari internet; bila label itu bisa dilewati, file berbahaya dapat berjalan tanpa peringatan yang biasa muncul. Microsoft tidak merinci siapa penyerangnya maupun cara eksploitasinya.
2. CVE-2026-108398 — .NET Framework Security Feature Bypass. Ditemukan James Forshaw dari Google Project Zero. Penyerang yang sudah punya akses ke sistem dapat menempatkan assembly .NET berbahaya dan mendaftarkannya agar dimuat proses terproteksi, sehingga aturan Windows Defender Application Control (WDAC) terlewati dan kode asing bisa dieksekusi. Tidak dibutuhkan interaksi pengguna.
3. CVE-2026-92707 — MessagePack-CSharp Denial of Service. Kelemahan pengaturan alokasi memori di .NET yang memungkinkan penyerang mematikan layanan dari jarak jauh.

Windows mana yang masih dapat patch

Di bulan yang sama Microsoft menutup dukungan beberapa versi Windows, dan ini yang perlu dicek di inventaris aset dinas/sekolah:

• Windows 11 versi 24H2 Home dan Pro berhenti menerima pembaruan pada 13 Oktober 2026. Patch Oktober adalah yang terakhir untuk edisi ini.
• Windows 10 Enterprise LTSB 2016 juga berakhir pada tanggal yang sama.
• Windows 11 23H2 Enterprise, Education, dan IoT Enterprise akan berhenti menerima pembaruan keamanan bulan depan.
• Windows 10 secara umum sudah lewat dukungan reguler sejak 14 Oktober 2025. Pembaruan hanya tersedia lewat program Extended Security Updates (ESU), misalnya KB5126657.

Praktisnya: komputer yang masih 24H2 Home/Pro atau Windows 10 tanpa ESU tidak lagi terlindungi setelah bulan ini, berapa pun kali tombol "Check for updates" ditekan.

Cara memasang pembaruan

Windows 11:

1. Buka Start > Settings > Windows Update.
2. Klik Check for updates, lalu Download & install.
3. Paketnya adalah KB5127648 untuk versi 26H2/25H2/24H2, atau KB5126653 untuk 23H2. Keduanya memuat patch keamanan Oktober 2026.
4. Restart dan pastikan versi build berubah di Settings > System > About.

Windows 10 dengan ESU: buka Settings > Update & Security > Windows Update, pasang KB5126657, lalu restart.

Windows Server:

1. Catat dulu konfigurasi dan buat backup/snapshot.
2. Uji patch di satu server non-produksi yang menjalankan aplikasi serupa (aplikasi keuangan desa, SIM sekolah, situs instansi).
3. Jadwalkan maintenance window di luar jam layanan.
4. Pasang pembaruan, restart, lalu uji fungsi aplikasi dan basis data sebelum lanjut ke server berikutnya.

Untuk kantor dengan banyak PC, jangan menambal satu per satu secara manual. Gunakan WSUS, Intune, atau Group Policy agar pembaruan terdistribusi bertahap, dan simpan catatan PC mana yang sudah dan belum terpasang. Daftar PC yang belum terpatch adalah daftar risiko, bukan sekadar administratif.

Kalau belum bisa update hari ini

Microsoft menyatakan belum menemukan masalah baru akibat pembaruan bulan ini, hanya mengingatkan kemungkinan gangguan audio pada perangkat audio USB 1.0. Sambil menunggu jadwal pemasangan, lakukan pengurangan risiko berikut:

• Aktifkan dan perbarui antivirus/Windows Defender di semua perangkat.
• Larang staf membuka lampiran atau tautan mencurigakan, terutama file kantor yang meminta makro.
• Batasi akun administrator harian; pakai akun pengguna biasa untuk pekerjaan rutin.
• Pastikan cadangan data berjalan dan diuji restore, bukan hanya terjadwal.

Untuk instansi, temuan ini pengingat bahwa pengelolaan patch harus jadi rutinitas bulanan dengan penanggung jawab yang jelas — bukan kegiatan mendadak saat ada berita ramai. Satu celah yang sudah dieksploitasi di dunia nyata cukup untuk membuat data layanan publik jadi taruhan.

Sumber: BleepingComputer — Microsoft October 2026 Patch Tuesday fixes 1,411 flaws, 3 zero-days; BleepingComputer — Windows 11 KB5127648 & KB5126653; Microsoft Security Update Guide CVE-2026-96951; Selular — Microsoft temukan celah keamanan Windows.