Apa Itu Zero-Day dan Kenapa Patch Harus Cepat

Zero-day adalah celah keamanan pada software atau perangkat yang sudah diketahui dan dimanfaatkan penyerang, sementara vendor belum punya perbaikan. Istilah "nol hari" merujuk pada waktu yang dimiliki vendor untuk menambalnya sebelum serangan terjadi: tidak ada sama sekali.

Yang dipertaruhkan bila salah memahami istilah ini cukup besar. Banyak orang mengira zero-day adalah ancaman langka yang hanya menimpa perusahaan raksasa, lalu menunda pembaruan rutin. Padahal sebagian besar serangan yang menimpa bisnis kecil justru memakai celah yang patch-nya sudah tersedia, hanya belum dipasang.

Zero-day, n-day, dan celah yang sudah lama diketahui

Istilah-istilah ini sering tertukar. Bedanya terletak pada apakah perbaikan sudah ada, dan sejak kapan.

Zero-day: belum ada patch

Celah ditemukan dan dieksploitasi sebelum vendor tahu atau sebelum perbaikan dirilis. Pertahanan yang tersedia hanya mitigasi sementara, misalnya mematikan fitur tertentu, membatasi akses jaringan, atau aturan firewall dari vendor. Celah seperti ini mahal untuk ditemukan, sehingga lebih sering dipakai untuk sasaran bernilai tinggi.

Sebagai gambaran, laporan Google Threat Intelligence Group yang terbit Maret 2026 mencatat 90 zero-day yang dieksploitasi di dunia nyata sepanjang 2025, dan sekitar 48 persen di antaranya menyasar produk untuk perusahaan, seperti perangkat jaringan dan keamanan. Sisanya menyasar platform pengguna akhir seperti sistem operasi, browser, dan ponsel.

N-day: patch sudah ada, tapi belum dipasang

Begitu vendor merilis patch, celah itu tidak lagi zero-day. Masalahnya, patch juga memberi petunjuk. Penyerang bisa membandingkan versi lama dan baru untuk menemukan bagian yang diperbaiki, lalu membuat eksploit untuk sistem yang belum diperbarui. Jeda antara rilis patch dan eksploitasi massal bisa sangat singkat, terutama untuk software yang banyak terpasang di internet.

Celah lama yang terus diburu

Ada celah yang patch-nya sudah keluar bertahun-tahun lalu tetapi masih dieksploitasi karena banyak sistem tidak pernah diperbarui. Contoh terkenal adalah Log4Shell pada Log4j, yang tetap dicari penyerang lama setelah perbaikannya tersedia.

Kenapa patch harus cepat?

Karena setelah patch dirilis, waktu berpihak pada penyerang. Pengumuman perbaikan memberi tahu dunia bahwa ada celah, di software apa, dan kadang seberapa parah. Penyerang tidak perlu menemukan celahnya sendiri, cukup memindai internet untuk mencari sistem yang belum diperbarui. Proses ini bisa diotomasi dan dijalankan ke jutaan alamat sekaligus.

Bisnis kecil sering merasa tidak menarik bagi penyerang. Dalam pemindaian otomatis, ukuran bisnis tidak dipertimbangkan. Yang dicari hanya versi software yang rentan. Website WordPress dengan plugin lama, panel admin yang terbuka, router kantor, atau VPN dengan firmware usang akan ditemukan sama mudahnya seperti milik perusahaan besar.

Bagaimana menentukan patch mana yang didahulukan?

Tidak semua pembaruan bisa dipasang di hari yang sama, dan itu wajar. Yang penting urutannya masuk akal.

Dahulukan celah yang sedang dieksploitasi

CISA, lembaga keamanan siber Amerika Serikat, memelihara katalog Known Exploited Vulnerabilities (KEV) yang berisi celah yang terbukti dieksploitasi. Bila celah di sistemmu ada di katalog itu, letakkan di urutan teratas. Cara memakainya dijelaskan di katalog KEV CISA untuk prioritas patch.

Lihat paparan dan tingkat keparahan

Sistem yang bisa diakses dari internet lebih mendesak daripada yang hanya ada di jaringan internal. Skor CVSS membantu menilai keparahan, tetapi bukan satu-satunya ukuran. Panduannya ada di cara membaca skor CVSS.

Siapkan jalur cepat dan jalur rutin

Pembaruan rutin bisa dijadwalkan mingguan atau bulanan. Untuk celah kritis yang sedang dieksploitasi, siapkan jalur darurat: siapa yang memutuskan, bagaimana menguji singkat, dan kapan boleh dipasang di luar jadwal. Backup terbaru sebelum patch membuat keputusan cepat tidak terlalu menakutkan. Catat juga daftar software dan perangkat beserta versinya, karena kamu tidak bisa menambal sesuatu yang tidak kamu tahu sedang terpasang.

Kapan menunggu, kapan langsung patch?

Menunggu beberapa hari masih bisa diterima untuk pembaruan fitur atau patch celah dengan risiko rendah di sistem internal, terutama bila pembaruan itu pernah menimbulkan masalah kompatibilitas. Di waktu itu kamu bisa menguji di lingkungan staging atau di satu perangkat dulu.

Langsung patch, atau minimal pasang mitigasi hari itu juga, bila celah sudah dieksploitasi, sistemnya terbuka ke internet, dan dampaknya eksekusi kode jarak jauh atau akses tanpa login. Dalam situasi ini, risiko gangguan kecil karena pembaruan jauh lebih ringan daripada risiko sistem diambil alih. Untuk zero-day yang belum ada patch-nya, ikuti panduan mitigasi dari vendor dan pertimbangkan menutup akses publik sementara.