Dalam sepuluh hari terakhir, Badan Keamanan Siber Amerika Serikat (CISA) memasukkan dua kerentanan ke daftar Known Exploited Vulnerabilities (KEV), yang berarti keduanya sudah dipakai penyerang nyata, bukan sekadar teori laboratorium. Satu celah ada di Microsoft Outlook, satu lagi di WordPress Core. Dua-duanya menyasar perangkat lunak yang sehari-hari dipakai kantor pemerintah, desa, sekolah, dan UMKM: email kantor dan website.

Yang membuat keduanya perlu disikapi cepat adalah rendahnya syarat serangan. Pada Outlook cukup satu file yang dibuka pengguna, sedangkan pada WordPress penyerang hanya perlu menunggu saat situs sedang menjalankan pembaruan.

1. Outlook: satu file dibuka, identitas Anda bisa dicuri

Kerentanan ini tercatat sebagai CVE-2026-124194 dengan skor CVSS 6,5 dan label Moderate. Label moderat itu menyesatkan banyak admin, sebab Microsoft sendiri menyatakan celah ini sudah dieksploitasi di dunia nyata.

Masalahnya ada pada perilaku Outlook yang tidak memperingatkan pengguna ketika melakukan tindakan berisiko (kategori CWE-356). Penyerang mengirim file pesan yang dibuat khusus, lalu Outlook membuka koneksi ke lokasi jaringan milik penyerang tanpa menampilkan peringatan konten eksternal seperti biasanya. Koneksi itulah yang membuat Windows mengirimkan hash autentikasi NTLMv2 milik korban.

Hash tersebut kemudian dipakai dengan dua cara: di-relay ke layanan internal yang masih menerima autentikasi NTLM, atau dipecahkan secara offline bila password-nya lemah. Dampaknya langsung terasa: penyerang bisa menyamar sebagai pegawai bersangkutan dan masuk ke sistem lain yang dapat dijangkau akun itu. Microsoft menegaskan eksploitasi membutuhkan koneksi jaringan dan interaksi pengguna, sementara preview pane bukan jalur serangan untuk CVE ini.

Celah ini ditemukan peneliti bernama Nono bersama Benoît Sevens dari Anthropic yang memakai Claude, dan Microsoft memberi kredit kepada keduanya. CISA menambahkan CVE ini ke KEV pada 10 November 2026 dengan tenggat perbaikan 24 November 2026 bagi instansi federal Amerika, tenggat yang sebaiknya juga dipakai sebagai pengingat internal di kantor Anda.

Satu hal yang sering terlewat: perbaikannya dikirim lewat pembaruan Office, bukan hanya cumulative update Windows, sehingga organisasi yang merasa "Windows sudah di-update" bisa tetap rentan karena Outlook-nya belum ditambal. Untuk Office LTSC 2021, build minimal yang sudah aman adalah 16.0.14334.21048, sedangkan Office LTSC 2024 minimal 16.0.17932.21140. Pengguna Microsoft 365 Apps mengikuti kanal bulanan Office.

Patch Tuesday November 2026 juga termasuk yang terbesar: Microsoft menambal lebih dari seribu kerentanan bulan ini. Angka persisnya berbeda antar-peneliti (1.094 sampai 1.259) karena cakupan CVE yang dihitung tidak sama, tetapi pesannya jelas. Beban patching bulan ini berat dan tidak bisa ditunda.

2. WordPress: celahnya justru muncul saat proses update

Kabar kedua datang dari CVE-2026-119977, kerentanan race condition (TOCTOU) di proses pembaruan WordPress Core dengan skor CVSS 8,1. Versi yang terdampak sangat luas, mulai WordPress 4.7.0 hingga 7.1.3, sementara perbaikannya tersedia di WordPress 7.1.4 yang dirilis 28 Oktober 2026.

Logikanya begini: saat WordPress memasang update paket penuh, file baru dibongkar lebih dulu ke folder sementara di dalam wp-content/upgrade/. Nama folder itu bisa ditebak, dan rutinitas pembersihan ikut menghapus index.php yang normalnya mencegah orang melihat isi direktori. Dalam jendela waktu singkat itulah penyerang tanpa login bisa mengakses file installer yang sedang diparkir dan menjalankan kode di server.

CISA menambahkan kerentanan ini ke KEV pada 3 November 2026 dengan tenggat 6 November 2026, dan sejumlah laporan menyebut lebih dari 240.000 percobaan eksploitasi berhasil diblokir sejak 28 Oktober. Angka itu adalah percobaan yang diblokir, bukan jumlah situs yang bobol, tetapi tetap menunjukkan minat penyerang yang sangat tinggi.

Rilis 7.1.4 sendiri tidak hanya menambal celah tersebut. WordPress juga memperbaiki sejumlah stored XSS di blok, Interactivity API, dan Customizer, serta memperbarui sertifikat root bawaan terkait pencabutan sertifikat eMudhra. WordPress menyebut ini sebagai rilis keamanan dan menyarankan pembaruan segera, sementara perbaikan juga di-backport ke cabang lama hingga versi 4.7 agar situs dengan versi jadul tetap punya jalur aman.

3. Checklist 15 menit untuk pengelola TI kantor, desa, dan sekolah

1. Cek versi Outlook. Buka Outlook, masuk ke File → Office Account → About Outlook, lalu bandingkan dengan build minimal di atas. Kalau lebih rendah, jalankan update Office sekarang.
2. Update lewat kanal Office. Untuk M365 Apps, gunakan File → Office Account → Update Options → Update Now, jangan mengandalkan Windows Update saja.
3. Cek versi WordPress. Buka Dasbor → Updates, atau jalankan wp core version lewat SSH, lalu pastikan angkanya minimal 7.1.4.
4. Backup dulu, baru update. Simpan salinan file dan database sebelum menekan tombol update, supaya bisa rollback bila ada plugin yang rusak.
5. Tutup akses web ke folder upgrade. Tambahkan aturan di nginx atau Apache agar /wp-content/upgrade/ tidak bisa diakses dari luar. Langkah ini menutup jendela eksploitasi meski update belum sempat dijalankan.
6. Batasi NTLM. Blokir koneksi keluar ke port SMB (TCP 445 dan 139) di firewall kantor, aktifkan SMB signing dan Extended Protection for Authentication pada layanan internal, serta kurangi pemakaian NTLM bila memungkinkan.
7. Edukasi singkat ke staf. Minta staf tidak membuka lampiran file pesan (.msg atau .eml) dari pengirim tak dikenal, meski terlihat berasal dari rekan kerja.

Kesimpulan

Dua kerentanan ini punya pola yang sama, yaitu penyerang tidak perlu membobol firewall karena cukup memanfaatkan kebiasaan manusia dan proses yang rutin: membuka lampiran serta menjalankan update. Prioritasnya karena itu bukan alat mahal, melainkan disiplin memastikan Office dan WordPress benar-benar berada di versi terbaru, menutup jalur yang tidak perlu, dan menyimpan bukti bahwa penambalan sudah dikerjakan. Bagi pengelola website desa atau sekolah yang tidak punya tim TI tetap, langkah paling aman adalah meminta penyedia hosting memperbarui core, tema, dan plugin sekaligus memverifikasi versinya.

Sumber: Microsoft MSRC CVE-2026-124194, NVD, CISA KEV 10 November 2026, The Hacker News, WordPress 7.1.4, CVE Record CVE-2026-119977.