Microsoft Patch Tuesday Juli 2026: Rekor 622 CVE dan 2 Zero-Day Dieksploitasi Aktif

Microsoft merilis Patch Tuesday Juli 2026 yang menandai sejarah sebagai pembaruan keamanan terbesar dalam sejarah perusahaan Redmond. Total 622 kerentanan (CVE) ditutup dalam satu rilis, melampaui rekor sebelumnya secara signifikan. Lebih kritis lagi, dua di antaranya — CVE-2026-56164 pada SharePoint Server dan CVE-2026-56155 pada Active Directory Federation Services (AD FS) — sudah dieksploitasi secara aktif di alam liar sebelum patch dirilis. Untuk tim keamanan di Indonesia dan global, bulan Juli 2026 bukan sekadar Patch Tuesday rutin, melainkan momen wake-up call tentang kecepatan eksploitasi dan volume kerentanan yang semakin melonjak naik didorong otomatisasi berbasis AI.

Dua Zero-Day Kritis: SharePoint dan AD FS Jadi Sasaran Utama

Fokus utama rilis ini bukan pada jumlah angka 622, melainkan pada dua kerentanan yang sudah dimanfaatkan penyerang. CVE-2026-56164 adalah elevation of privilege (EoP) pada SharePoint Server yang memungkinkan penyerang tidak terautentikasi untuk eskalasi hak akses melalui jaringan tanpa interaksi pengguna. Skor CVSS 3.1-nya hanya 7.2 (High), namun Microsoft menandainya sebagai Exploited: Yes. Kerentanan ini memengaruhi SharePoint Server 2016 dan 2019 — kedua versi yang tepat hari ini (15 Juli 2026) mencapai end of extended support. Artinya, organisasi yang belum bermigrasi ke SharePoint Online atau versi Subscription Edition tidak akan menerima patch keamanan lebih lanjut setelah hari ini.

CVE-2026-56155 menargetkan AD FS, komponen identitas yang menandatangani token akses untuk seluruh lingkungan enterprise. Meskipun diklasifikasikan sebagai EoL lokal (memerlukan akses lokal awal), posisinya sebagai token signing authority membuatnya jauh lebih berbahaya dari skor CVSS 6.8 (Medium) yang tertera. Microsoft mengakui eksploitasi aktif namun belum memasukkan keduanya ke katalog CISA Known Exploited Vulnerabilities (KEV) pada saat rilis. Hal ini menegaskan perlunya triase berbasis exploitability (EPSS, KEV, Microsoft Exploitability Assessment) bukan hanya skor CVSS.

Peringatan Praktisi: Severity label (Critical/High/Medium) tidak lagi cukup untuk prioritisasi patching bulan ini. Dua zero-yard dieksploitasi berturut-turut memiliki skor CVSS di bawah 8.0. Gunakan KEV, EPSS ≥ 0.7, dan flag "Exploited: Yes" Microsoft sebagai filter utama. Patch SharePoint dan AD FS hari ini, baru lanjutkan yang lain.

BitLocker Bypass (CVE-2026-50661) dan Rantai Rapid7 Pwn2Own

Zero-day ketiga, CVE-2026-50661, adalah BitLocker Security Feature Bypass yang memerlukan akses fisik ke perangkat. Meskipun tidak dieksploitasi jarak jauh, kerentanan ini menarik perhatian karena merupakan bagian dari rantai eksploitasi Pwn2Own Berlin 2026 oleh Rapid7. Peneliti mereka merangkai CVE-2026-50661 dengan CVE-2026-55040 (JWT authentication bypass pada SharePoint) untuk mencapai unauthenticated RCE. Microsoft hanya menutupi CVE-2026-50661 bulan ini; celah RCE-nya (CVE-2026-55040) dijadwalkan patch di Agustus. Ini menciptakan window of exposure bagi server SharePoint yang terekspos publik.

# Contoh cek cepat status patch SharePoint 2019 (PowerShell)
$build = (Get-Item "C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\16\BIN\Microsoft.SharePoint.dll").VersionInfo.FileVersion
Write-Host "Build: $build"
# Juli 2026 Patch Tuesday = Build 16.0.10417.20000+
if ([version]$build -ge [version]"16.0.10417.20000") {
    Write-Host "✅ Patched" -ForegroundColor Green
} else {
    Write-Host "❌ VULNERABLE - Apply KB5002700 immediately" -ForegroundColor Red
}

Akhir Era RC4 Kerberos: Hardening 10 Tahun Selesai

Patch Tuesday Juli juga menutup babak panjang penghapusan RC4 dari Kerberos. Mulai rilis ini, RC4DefaultDisablementPhase rollback switch dihapus permanen. Akun layanan yang masih meminta tiket Kerberos RC4 akan gagal autentikasi seketika setelah update diterapkan. Microsoft menambahkan event audit (Event ID 4624 dengan Key Type = 0x17) sejak Januari 2026 untuk membantu identifikasi akun bermasalah.

Langkah wajib sebelum memasang patch Juli:

1. Ekspor event log Security dengan filter EventID=4624 AND KeyType=0x17 dari minimal 30 hari terakhir.
2. Identifikasi TargetUserName (service accounts) yang muncul.
3. Rotasi password akun tersebut → Windows akan menghasilkan AES key baru.
4. Verifikasi tidak ada event RC4 baru, lalu baru terapkan patch.

# PowerShell: cari service account yang masih pakai RC4 (run di DC)
$events = Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624; StartTime=(Get-Date).AddDays(-30)} |
  Where-Object { $_.Properties[19].Value -eq 23 }  # KeyType 0x17 = RC4
$accounts = $events | Select-Object -ExpandProperty Properties | Where-Object Name -eq TargetUserName | Select-Object -ExpandProperty Value -Unique
$accounts | ForEach-Object { Write-Host "Rotate password for: $_" }

AI Mengubah Kecepatan Sisi Serang dan Bertahan

Microsoft mengakui dalam postingan 9 Juli bahwa volume CVE melonjak karena AI membantu tim keamanan mereka menemukan lebih banyak bug. Sisi lain: penyerang juga menggunakan AI untuk diffing patch (membandingkan binary pre/post-patch), menemukan root cause, dan membangun eksploit fungsional dalam hitungan jam — bukan hari. ZDI mencatat 95 kerentanan RCE jarak jauh hanya di komponen Windows bulan ini. Aturan lama "patch dalam 30 hari untuk Critical" sudah usang. Organisasi di Indonesia harus beralih ke model exploit-driven patching: patch dalam 48 jam untuk CVE yang ada di KEV/EPSS tinggi, 7 hari untuk yang dieksploitasi aktif, 14 hari untuk sisa Critical/High.

Checklist Aksi Darurat untuk Tim IT Indonesia

• Hari 0 (Hari ini): Terapkan patch SharePoint (KB5002700) dan AD FS pada semua server on-prem. Verifikasi build version.
• Hari 1: Audit RC4 Kerberos log, rotasi password service account bermasalah.
• Hari 2: Patch Windows client/server (416 CVE Windows saja). Prioritaskan workstation admin dan server internet-facing.
• Hari 3-7: Terapkan patch Office, .NET, Visual Studio, dan komponen lain. Aktifkan AMSI Full Mode di SharePoint sebagai mitigasi tambahan.
• Minggu depan: Evaluasi migrasi SharePoint 2016/2019 ke Subscription Edition atau Microsoft 365 — support extended berakhir hari ini.

Volume 622 CVE bukan anomali sekali kali; Microsoft menandakan ini sebagai "new normal" di era AI-assisted vulnerability discovery. Tim keamanan yang masih bergantung pada triase manual berbasis CVSS akan ketinggalan. Investasikan pada vulnerability intelligence feed real-time (KEV, EPSS, vendor exploited flags), otomatisasi patch testing, dan kemampuan out-of-band deployment untuk zero-day kritis. Patch Tuesday Juli 2026 adalah bukti: kecepatan patching sekarang ukurannya jam, bukan minggu.