Kamis Keamanan Siber: Patch Tuesday Pecah Rekor 1.413 Celah, Kasus ASOS, dan Zero-Day FortiMail

Kalau kotak masukmu penuh notifikasi “ada pembaruan”, kamu tidak sendirian. Pekan ini Microsoft menambal celah dalam jumlah yang belum pernah ada, sebuah ritel besar Inggris ketahuan diretas lewat jalur belakang, dan satu perangkat pengaman surel masih menunggu tambalan resmi. Liputan hari ini mencakup 12-15 Oktober 2026, diperluas ke awal Oktober untuk dua kasus yang masih berbuntut.

Sekilas Hari Ini

Patch Tuesday Oktober: rekor lagi, dan satu celah sudah dipakai penyerang

Microsoft merilis tambalan untuk 1.413 CVE, melampaui rekor bulan September yang sekitar 974. Sebanyak 80 di antaranya berstatus kritis, dan Windows menyumbang sekitar 1.102 celah. Yang paling mendesak adalah CVE-2026-96951 (skor CVSS 8,8), celah di Windows Shell yang melewati Mark of the Web, yaitu “cap” pada berkas unduhan yang membuat SmartScreen dan Protected View waspada. Celah ini sudah dieksploitasi sebelum ada tambalan, dan CISA memasukkannya ke katalog KEV dengan tenggat 16 Oktober untuk lembaga federal AS. Detail serangannya belum dibuka.

Ada pula celah kritis lain yang patut dilirik: kelemahan Outlook Reading Pane (CVE-2026-70242, CVSS 9,8) yang disebut tidak butuh interaksi pengguna, serta kelemahan Microsoft QUIC (CVE-2026-105016, CVSS 9,8). Lonjakan jumlah CVE ini dikaitkan sejumlah analis dengan pencarian celah berbantuan AI, ditambah perluasan program CVE. Jadi angka besar tidak otomatis berarti dunia makin rapuh; bisa jadi lubangnya memang lebih cepat ditemukan. Soal peran AI dalam urusan ini, kita pernah membahasnya di artikel tentang agen AI OpenAI dan Hugging Face.

Satu catatan terkait: dukungan Windows 11 24H2 edisi Home dan Pro sudah berakhir, sebagaimana kita bahas di edisi Senin Sistem Operasi. Kalau komputermu masih di versi itu, tambalan bulan depan tidak akan datang.

ASOS: notifikasi “kamu diretas” dari aplikasi sendiri

Pada 6 Oktober, sejumlah pengguna aplikasi ASOS, ritel mode asal Inggris, menerima notifikasi berisi pernyataan bahwa data perusahaan telah “sepenuhnya dikuasai” dan ancaman akan dibocorkan jika perusahaan tidak berunding. Kelompok yang menyebut diri Xuanye mengklaim membobol instans Snowflake milik ASOS. ASOS mengonfirmasi ada pelanggaran lewat platform pihak ketiga yang dipakai untuk berkomunikasi dengan pelanggan, dengan nama dan data kontak ikut terambil. ASOS menyatakan tidak yakin data kartu pembayaran maupun kata sandi terdampak. Snowflake sendiri menyatakan tidak ada pembobolan di sistemnya.

Hal yang belum jelas: berapa banyak data dan pelanggan terdampak, apakah autentikasi multifaktor (MFA) aktif, dan bagaimana pelaku menembus sistem pengirim notifikasi. Laporan BleepingComputer menyebut pelaku menyamar sebagai kontak tepercaya untuk mendapat kredensial, tetapi itu kabar media, bukan temuan resmi. Pelajarannya sederhana: pagar rumahmu bisa kokoh, tetapi kalau vendor pihak ketiga lupa mengunci pintu, tetap saja ada yang masuk.

FortiMail: zero-day dengan skor 9,8

CVE-2026-104286 di FortiMail memungkinkan penyerang tanpa login menulis berkas sembarang lewat permintaan HTTP(S) yang dirancang khusus. Fortinet mengonfirmasi eksploitasi di dunia nyata, dan saat laporan awal terbit, versi perbaikan untuk beberapa cabang (8.0.2, 7.6.7, 7.4.9) belum tersedia. Mitigasi sementara dari Fortinet adalah menonaktifkan dukungan IBE lewat CLI dan membatasi akses antarmuka manajemen hanya dari jaringan tepercaya. Pantau halaman advisori Fortinet untuk status build terbaru, karena informasi ini bisa sudah berubah.

config system encryption ibe
    set status disable
end

Benang Merah Hari Ini

Tiga kabar, satu pola: celah dan kebocoran makin sering datang dari tempat yang tidak kita awasi, entah fitur sistem yang dipercaya, vendor pihak ketiga, atau perangkat pengaman itu sendiri. Untuk pengguna biasa, langkah praktisnya: pasang pembaruan Windows dan Office secepatnya, aktifkan MFA di semua akun penting, curigai notifikasi atau berkas yang tiba-tiba heboh, dan jangan membuka lampiran dari pengirim tak dikenal hanya karena tampak resmi. Untuk admin, prioritaskan celah yang sudah dieksploitasi dibanding sekadar mengejar jumlah CVE.

Bagaimana di tempatmu, apakah pembaruan Windows ditunda sampai “nanti saja”? Ceritakan di kolom komentar.

Sumber

• SecurityWeek: Microsoft Patches Record 1,413 Vulnerabilities
• Dark Reading: Zero-Days Lurk in Microsoft’s Overgrown October Patch Tuesday
• TechCrunch: Asos confirms breach of customer data
• The Hacker News: Critical FortiMail Zero-Day Flaw
• Kocho: Cybersecurity News October 2026