Microsoft Tambal 1.259 Celah, Termasuk Bug Outlook yang Bocorkan Hash NTLMv2

Microsoft merilis patch untuk 1.259 kerentanan pada Selasa (11/11/2026), termasuk celah Moderate di Outlook (CVE-2026-124194) yang sudah dieksploitasi aktif dan bisa membocorkan hash NTLMv2 pengguna hanya lewat satu file yang dibuka.

Jumlah itu membuat dua bulan berturut-turut volume tambalan Microsoft menembus angka 1.000. Perusahaan menyebut kerentanan tersebar di hampir seluruh portofolio produknya, dari sistem operasi hingga layanan awan.

Celah Outlook menjadi sorotan karena Microsoft sendiri menandainya sebagai actively exploited. Skornya hanya 6,5 (Moderate), tetapi dampaknya jauh melampaui labelnya.

Rincian 1.259 Kerentanan di Patch Tuesday November 2026

Dari total 1.259 tambalan, sebanyak 726 berada di Windows. Office menyumbang 174 celah, diikuti Developer Tools 61, SQL Server 59, Developer Tools 53, dan SharePoint Server 27.

Paket ini juga memuat 165 pengenal CVE yang tidak diterbitkan Microsoft. Lebih dari 500 kerentanan tergolong elevation of privilege, disusul remote code execution dan information disclosure.

Menurut Satnam Narang, senior staff research engineer di Tenable, dengan rilis terbaru ini Microsoft telah menambal lebih dari 5.100 CVE sepanjang tahun. Angka itu menempatkan 2026 sebagai salah satu tahun terberat bagi tim keamanan perusahaan.

Beberapa celah lain yang dicatat antara lain remote code execution di Windows Search (CVE-2026-116928), Lightweight Directory Access Protocol (CVE-2026-119958), Windows Schannel (CVE-2026-119952), Windows Virtual Filtering Platform (CVE-2026-95962), dan Windows Xbox Live Networking Service (CVE-2026-112967). Ada pula celah eskalasi hak istimewa di Azure OpenAI (CVE-2026-119990).

Daftar lengkap tambalan bisa ditelusuri melalui laporan The Hacker News yang merangkum seluruh CVE bulan ini.

Bagaimana Bug Outlook Mencuri Hash NTLMv2

Microsoft menjelaskan celah ini sebagai kegagalan antarmuka produk dalam memperingatkan pengguna terhadap tindakan tidak aman di Microsoft Office Outlook. Akibatnya, penyerang tanpa autentikasi bisa melakukan spoofing lewat jaringan.

Modusnya sederhana. Penyerang mengirim pesan yang dirancang khusus, lalu membujuk korban membukanya di versi Outlook yang terdampak. Outlook kemudian terhubung ke lokasi jaringan yang dikendalikan penyerang tanpa menampilkan peringatan konten eksternal seperti biasa.

Koneksi itu berpotensi membocorkan informasi autentikasi, termasuk hash NTLMv2, yang bisa dipakai untuk menyamar sebagai pengguna. Microsoft menegaskan eksploitasi hanya berhasil bila ada konektivitas jaringan dan interaksi pengguna.

Perusahaan mengreditkan peneliti bernama Nono dan Benoît Sevens dari Anthropic (menggunakan Claude) sebagai penemu dan pelapor celah. Namun Microsoft tidak menyebut aktor ancaman tertentu maupun detail teknis eksploitasi di lapangan.

Advisory itu juga tidak menjelaskan apakah temuan terjadi sebelum atau sesudah penyerang mulai mengeksploitasi celah. Ketidakjelasan ini membuat tim keamanan sulit menilai seberapa lama paparan sudah berlangsung.

Peringatan Analis: Label Moderate Menyesatkan

Jack Bicer, director of vulnerability research di Action1, menilai label Moderate tidak mencerminkan risiko sebenarnya. Menurut dia, email adalah pintu termudah masuk ke perusahaan mana pun, dan celah ini mengubah satu file yang dibuka menjadi identitas yang dicuri.

"Hash yang tertangkap bisa membuat penyerang masuk sebagai korban, membaca datanya, dan bergerak ke sistem lain yang bisa dijangkau," kata Bicer.

Ia menambahkan bahwa penyerang sudah mengeksploitasinya, hanya butuh satu klik pada file email, dan mengenai Outlook yang dipakai hampir semua organisasi. "Hash yang dicuri bisa membuka pintu jauh melampaui kotak masuk," ujarnya.

Dari sisi beban kerja, Jake Knott, head of threat intelligence di watchTowr, menyebut tim keamanan belum pulih dari bulan sebelumnya yang penuh kerentanan kritis, patch darurat, dan berbagai label "2shell". Kini mereka kembali menghadapi Patch Tuesday lain.

"Tim benar-benar mulai merasakan tekanan untuk menentukan apa yang sebenarnya penting ketika ada kebakaran demi kebakaran setiap hari," kata Knott.

Saran Knott bersifat praktis: mulai dari aset yang benar-benar terekspos ke internet, lalu yang sudah dieksploitasi di lapangan, baru sisanya. Sebelum panik, tim diminta memeriksa apakah komponen rentan benar-benar dipakai atau prasyarat eksploitasinya terpenuhi.

CISA Masukkan CVE-2026-124194 ke Katalog KEV

Risiko yang dianggap nyata membuat Cybersecurity and Infrastructure Security Agency (CISA) Amerika Serikat memasukkan CVE-2026-124194 ke katalog Known Exploited Vulnerabilities (KEV).

Konsekuensinya mengikat. Lembaga federal wajib menerapkan perbaikan paling lambat 24 November 2026, atau sekitar dua pekan setelah patch dirilis.

Bagi organisasi di luar pemerintah AS, masuknya celah ke KEV tetap menjadi sinyal kuat. Katalog itu secara implisit menyatakan eksploitasi sudah terjadi di dunia nyata, bukan sekadar proof-of-concept di laboratorium.

Prioritas penambalan pun bergeser. Celah Outlook ini semestinya diperlakukan setara dengan kerentanan kritis lain bulan ini, meski skor CVSS-nya hanya 6,5.

Data tambahan bisa dilihat di katalog KEV CISA yang memperbarui status eksploitasi setiap kali ada bukti baru.

Dampak bagi Perusahaan dan Langkah Pengamanan

Hash NTLMv2 yang bocor bukan sekadar data sensitif. Dalam banyak serangan, hash itu menjadi bahan relay attack atau pass-the-hash untuk masuk ke sistem lain tanpa perlu menebak kata sandi.

Karena Outlook terpasang di hampir setiap komputer kantor, permukaan serangan jadi sangat luas. Satu karyawan yang membuka file lampiran berbahaya sudah cukup untuk memulai rangkaian pergerakan lateral.

Beberapa langkah yang masuk akal diambil tim TI:

• Terapkan patch November 2026, khususnya pembaruan Outlook, lebih dulu di perangkat yang menangani email eksternal.
• Blokir koneksi keluar SMB dan NTLM ke internet bila tidak diperlukan untuk mempersempit kanal kebocoran hash.
• Aktifkan perlindungan terhadap autentikasi NTLM yang tidak perlu, termasuk kebijakan hardening di tingkat domain.
• Pantau log untuk koneksi tak lazim dari klien Outlook ke alamat IP eksternal.
• Prioritaskan aset yang terekspos internet dan yang sudah tercatat dalam katalog KEV.

Microsoft belum mengungkap apakah celah ini bagian dari kampanye tertentu. Sampai informasi baru muncul, asumsi paling aman adalah eksploitasi bisa menyasar organisasi mana pun yang belum menambal.

Analisis Redaksi

Angka 1.259 kerentanan dalam satu bulan bukan lagi anomali, melainkan pola. Dua bulan beruntun di atas 1.000 celah menunjukkan bahwa permukaan serangan Microsoft melebar lebih cepat daripada kemampuan pelanggan mencerna tambalannya. Bagi tim keamanan dengan anggota terbatas, daftar CVE sepanjang itu berubah menjadi latihan memilah mana yang benar-benar mendesak.

Kasus CVE-2026-124194 memperlihatkan kelemahan penilaian berbasis skor semata. CVSS 6,5 membuat banyak sistem tiket menempatkannya di antrean belakang, padahal statusnya sudah dieksploitasi aktif dan menyangkut identitas pengguna. Label Moderate di sini lebih mencerminkan kompleksitas teknis eksploitasi, bukan besarnya kerugian bila berhasil.

Yang juga perlu disorot adalah celah informasi dalam advisory Microsoft. Tanpa keterangan kapan eksploitasi dimulai, organisasi tidak bisa menghitung berapa lama mereka terpapar. CISA mempercepat tenggat lewat KEV, tetapi keputusan akhir tetap di tangan masing-masing organisasi: menambal sekarang, atau menerima risiko hash karyawan berpindah tangan.