--- title: "Patch Tuesday November 2026, Ribuan Celah Ditambal" description: "Patch Tuesday 10 November 2026 menambal lebih dari 1.000 celah, termasuk zero-day Outlook CVE-2026-124194. Ini yang perlu diprioritaskan." url: "https://nivelva.com/insight/patch-tuesday-november-2026" category: "Berita Teknologi" tags: ["patch tuesday","windows","outlook","zero-day","microsoft"] author: "Aisyah Aris" published: "2026-11-11T20:36:00+07:00" updated: "2026-11-11T20:36:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Patch Tuesday November 2026, Ribuan Celah Ditambal > **Jawaban singkat:** Patch Tuesday 10 November 2026 memuat sekitar 1.095 CVE yang diterbitkan Microsoft, 64 di antaranya Critical. Satu celah sudah dieksploitasi, yaitu CVE-2026-124194 di Outlook yang bisa membocorkan hash NTLMv2. Perbarui Office lebih dulu, lalu Windows dan server. Microsoft merilis paket pembaruan keamanan bulanan pada 10 November 2026, dan isinya lebih dari seribu celah. Yang paling mendesak hanya satu: CVE-2026-124194 di Microsoft Outlook, yang menurut Microsoft sudah dieksploitasi di dunia nyata. Kalau kamu hanya sempat melakukan satu hal hari ini, perbarui Office di semua komputer kantor. Kenapa ini penting? Paket sebesar ini membuat tim IT mudah kewalahan, lalu menunda semuanya sampai "nanti kalau sempat". Padahal tidak semua celah sama gentingnya. Memilah mana yang harus duluan jauh lebih berguna daripada membaca seribu baris daftar CVE. ## Berapa banyak celah yang ditambal? Angkanya berbeda-beda tergantung siapa yang menghitung. Data resmi Microsoft (berkas CVRF bulan November 2026 di Security Update Guide) memuat sekitar 1.095 CVE yang diterbitkan Microsoft sendiri, per 11 November 2026. Redmondmag menyebut 1.093, sementara tabel ringkasan Qualys mencatat 1.094. Qualys juga menulis angka 1.235 di pembukaan ulasannya, yang tampaknya ikut menghitung celah Chromium yang diwarisi Microsoft Edge. Selisih kecil seperti ini wajar. Microsoft kadang menambah atau merevisi entri setelah hari rilis, dan tiap peneliti punya aturan sendiri soal celah pihak ketiga. Yang jelas, jumlahnya di atas seribu, jauh lebih banyak daripada Patch Tuesday pada umumnya beberapa tahun lalu. Dari celah yang diterbitkan Microsoft, 64 berstatus Critical dan 1.029 Important, menurut data CVRF yang sama. Berdasarkan jenisnya, komposisinya kira-kira seperti ini: | Jenis celah | Jumlah (perkiraan, per 11 Nov 2026) | |:--|:--| | Elevation of Privilege (menaikkan hak akses) | 536 | | Remote Code Execution (menjalankan kode dari jauh) | 296 | | Information Disclosure (membocorkan informasi) | 157 | | Denial of Service | 46 | | Security Feature Bypass | 27 | | Spoofing (pemalsuan) | 22 | | Tampering | 11 | Celah Windows mendominasi. Ulasan Qualys mencatat 726 celah di keluarga produk Windows, disusul Office dengan 174 dan SQL Server dengan 59. ## Zero-day Outlook, seberapa berbahaya? CVE-2026-124194 adalah celah spoofing di Outlook dengan skor CVSS 6.5 dan tingkat keparahan Moderate. Angka itu terdengar ringan, tetapi status "sudah dieksploitasi" membuatnya naik ke urutan pertama. Menurut penjelasan Microsoft, penyerang mengirim berkas pesan yang dibuat khusus lalu membujuk korban membukanya di Outlook. Saat dibuka, Outlook bisa terhubung ke lokasi jaringan milik penyerang tanpa menampilkan peringatan konten eksternal yang biasanya muncul. Akibatnya, hash NTLMv2 milik pengguna bisa bocor. Hash itu dapat dipakai penyerang untuk mengautentikasi diri sebagai pengguna tersebut. Beberapa hal dari halaman resmi Microsoft yang perlu dicatat: - **Butuh interaksi pengguna.** Korban harus membuka berkasnya. Panel pratinjau (Preview Pane) bukan jalur serangan. - **Diperbaiki lewat pembaruan Office.** Produk yang terdampak adalah Microsoft 365 Apps for Enterprise serta Office LTSC 2021 dan 2024. Pembaruan kumulatif Windows saja tidak cukup. - **Masuk katalog KEV.** CISA menambahkan celah ini ke katalog Known Exploited Vulnerabilities pada 10 November 2026, dengan tenggat 24 November 2026 bagi instansi federal AS. Per 11 November 2026, Microsoft belum mengumumkan siapa penyerangnya atau berapa banyak korbannya. Penemuan celah ini dikreditkan ke Benoît Sevens (yang tercatat memakai Claude) dan peneliti bernama "nono". Kalau istilah KEV masih asing, baca dulu [cara memakai katalog KEV CISA untuk prioritas patch](https://nivelva.com/insight/katalog-kev-cisa-prioritas-patch). Intinya, katalog itu berisi celah yang terbukti sedang diserang, bukan sekadar teori. ## Celah Critical yang patut diperhatikan Di luar zero-day, ada beberapa celah dengan skor tinggi. Data CVRF Microsoft mencatat lima celah Critical dengan skor 9.8 ke atas: - **CVE-2026-109469 (CVSS 10.0)** di Entra Device Registration, celah kenaikan hak akses lewat jaringan. - **CVE-2026-119958 (9.8)** di Windows LDAP, eksekusi kode jarak jauh tanpa autentikasi. Ini penting bagi kantor yang menjalankan domain controller. - **CVE-2026-116928 (9.8)** di komponen Windows Search. - **CVE-2026-112967 (9.8)** di Windows Xbox Live Networking Service. - **CVE-2026-119990 (9.8)** di Azure OpenAI. Celah di Entra dan Azure OpenAI berada di layanan cloud. Untuk layanan seperti ini, cek halaman CVE masing-masing di Security Update Guide untuk memastikan apakah ada tindakan yang perlu kamu lakukan atau perbaikannya sudah diterapkan di sisi Microsoft. Yang lebih dekat ke keseharian kantor kecil adalah deretan celah Office. Ada belasan celah Critical di Excel, Word, dan Outlook dengan skor 8.8, termasuk CVE-2026-120003 di Microsoft Office yang disorot Qualys. Pola serangannya klasik: lampiran dokumen yang terlihat biasa, tetapi menjalankan kode saat dibuka. Ini alasan lain kenapa pembaruan Office tidak boleh ditunda. Exchange Server juga kebagian tambalan, termasuk CVE-2026-118207 (Critical, CVSS 8.8, butuh autentikasi). Bila kantormu masih menjalankan Exchange sendiri, masukkan ini ke jadwal minggu ini. ## Urutan prioritas untuk kantor kecil Tidak perlu membaca seribu entri. Untuk usaha kecil dan menengah, urutan berikut sudah menutup risiko terbesar: 1. **Office dan Outlook dulu.** Buka Word atau Outlook, masuk ke File, Account (Akun), lalu Update Options dan pilih Update Now. Ini menutup zero-day dan deretan celah dokumen. 2. **Windows di semua laptop.** Untuk Windows 11 versi 24H2 dan 25H2, pembaruan bulan ini tercatat sebagai KB5132061. Jalankan Windows Update lalu mulai ulang. Banyak orang lupa langkah terakhir ini. 3. **Server Windows.** Domain controller dan server yang menjalankan LDAP, IIS, atau Exchange diuji di satu mesin dulu bila memungkinkan, lalu diperbarui di luar jam kerja. 4. **Cek yang tertinggal.** Laptop yang jarang dinyalakan atau dibawa pulang karyawan sering lolos. Tarik laporan dari alat manajemen perangkat bila ada. Kenapa harus cepat? Begitu tambalan terbit, penyerang membandingkan versi lama dan baru untuk mencari letak celahnya. Penjelasan lengkapnya ada di [apa itu zero-day dan kenapa patch harus cepat](https://nivelva.com/insight/apa-itu-zero-day-patch-harus-cepat). Kalau kamu belum punya jadwal rutin, [panduan patch management](https://nivelva.com/insight/apa-itu-patch-management-cara-menjalankannya) bisa jadi titik awal. ## Bagaimana mengurangi risiko kebocoran hash NTLM? Zero-day bulan ini mengincar hash NTLMv2. Selain menambal, ada langkah umum yang mengurangi dampak serangan sejenis: - Blokir lalu lintas SMB keluar (port TCP 445) ke internet di firewall kantor. Komputer klien jarang punya alasan sah untuk terhubung ke SMB di luar jaringan. - Jangan pakai akun admin domain untuk membaca email sehari-hari. - Aktifkan verifikasi dua langkah untuk layanan yang mendukungnya, sehingga hash atau kata sandi yang bocor tidak cukup untuk masuk. - Ingatkan tim untuk curiga pada lampiran berkas pesan dari pengirim yang tidak dikenal, terutama yang meminta dibuka segera. ## .NET 8 dan 9 resmi berakhir Satu catatan lagi. Tanggal 10 November 2026 juga menjadi akhir dukungan .NET 8 dan .NET 9, sehingga Patch Tuesday ini memuat tambalan keamanan terakhir untuk keduanya. Aplikasi internal yang masih berjalan di versi itu tidak akan menerima perbaikan lagi mulai bulan depan. Pembahasannya ada di [.NET 8 dan 9 berakhir, saatnya pindah ke .NET 10 atau 11](https://nivelva.com/insight/dotnet-8-9-berakhir-pindah-dotnet-10-11). ## Pertanyaan yang sering diajukan ### Apakah pengguna Outlook versi web (Outlook di browser) ikut terdampak zero-day ini? Daftar produk terdampak di halaman resmi CVE-2026-124194 hanya menyebut Microsoft 365 Apps for Enterprise serta Office LTSC 2021 dan 2024, yaitu aplikasi desktop. Outlook versi web tidak tercantum per 11 November 2026. ### Kenapa celah berskor 6.5 justru paling diprioritaskan? Skor CVSS mengukur tingkat keparahan teknis, bukan apakah celah sedang diserang. Celah yang sudah dieksploitasi lebih berisiko daripada celah berskor tinggi yang belum punya eksploit, karena alat serangnya sudah ada. ### Apakah jumlah 1.095 CVE itu angka final? Belum tentu. Microsoft bisa merevisi atau menambah entri setelah tanggal rilis. Angka di artikel ini diambil dari data Security Update Guide per 11 November 2026. ## Sumber - - - - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/patch-tuesday-november-2026 Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com