Bandingkan dengan angka normal. September 2026 Microsoft menambal 974 CVE. Sepanjang 2025 totalnya sekitar 1.273 CVE untuk setahun penuh. Sekarang satu bulan hampir menyamai setahun. Penyebabnya bukan Windows tiba-tiba jadi lebih buruk, tapi cara Microsoft mencari bug yang berubah: AI sekarang ikut jadi mesin pencari celah, dan hasilnya keluar jauh lebih banyak dari sebelumnya.

detikINET memberitakan hal yang sama dengan judul lugas, Microsoft menambal seribu celah keamanan Windows dalam sebulan karena pemakaian AI untuk memindai kode. Angka resminya bahkan lebih besar dari seribu.

Apa saja celah keamanan Windows yang ditambal bulan ini

Rilis 13 Oktober 2026 itu mencakup 176 pembaruan terpisah. Sebarannya tidak rata. Windows menyumbang 1.102 CVE, Office 134, developer tools 61, SharePoint Server 36, dan SQL Server 22. Exchange Server, Azure, Defender, dan beberapa produk lain ikut kebagian jatah.

Dari sisi jenis serangan, mayoritas adalah privilege escalation dengan 677 patch. Artinya celah yang memungkinkan penyerang naik dari akun biasa jadi akun dengan hak lebih tinggi. Setelah itu remote code execution 317 celah, information disclosure 254, dan sisanya tersebar di kategori lain. Lebih dari 70 celah dapat label kritis, sebagian analis menghitung sampai 85.

Kalau dibagi rata, itu sekitar 35 sampai 37 patch per hari selama sebulan. Jumlah yang mustahil diuji manual satu per satu oleh tim IT kantor kecil. Di sinilah masalah barunya: penemuan bug sekarang jauh lebih cepat daripada kemampuan organisasi memasang tambalannya.

Baca juga: Perpres AI Indonesia Segera Terbit: Isi Aturan Etika AI dan Peta Jalan AI Nasional

Kenapa celah keamanan Windows meledak jadi 1.102 dalam sebulan

Jawaban singkatnya: karena AI bisa membaca kode lebih cepat dan lebih teliti daripada tim peneliti manusia yang jumlahnya terbatas. Efeknya langsung kelihatan di tumpukan celah keamanan Windows yang harus ditambal tiap bulan. Microsoft punya lab khusus untuk ini, namanya FORGE, singkatan dari Frontier Offensive Research and Generative Exploitation. Tim ini memang dibentuk untuk menyerang produk sendiri supaya celahnya ketemu sebelum dipakai orang lain.

Hasilnya kelihatan di angka. Antara Mei sampai September 2026, FORGE membantu menemukan celah Windows yang dapat 140 CVE, dan 52 di antaranya baru ditambal di rilis September. Kerja mereka tidak berhenti di produk Microsoft. Tim ini mengirim 155 laporan tervalidasi ke 23 proyek open-source, termasuk Linux kernel.

Ada juga cerita sampingan yang menarik. Lewat Akrites, inisiatif Linux Foundation yang mengatur pelaporan celah di perangkat lunak open-source kritikal secara rahasia, satu laporan FORGE jadi kiriman pertama yang berujung pada patch yang masuk ke Linux kernel. Jadi AI yang sama yang bikin tumpukan patch di Windows juga dipakai buat memperbaiki kode yang dipakai siapa saja.

Satu zero-day yang sudah dipakai penyerang

Dari tumpukan celah keamanan Windows dan produk lain bulan ini, cuma satu yang tercatat sudah dieksploitasi di lapangan. Kodenya CVE-2026-96951, skor CVSS 8.8, dan masalahnya ada di Windows Shell. Celah ini memungkinkan penyerang melewati Mark of the Web, lapisan pengaman yang biasanya menandai file hasil unduhan dari internet supaya Word, Excel, atau Windows sendiri bersikap lebih hati-hati.

Kalau tanda itu bisa dilewati, file jahat dari internet tampil seperti file lokal biasa. Microsoft menjelaskan skenarionya lewat email atau pesan instan: penyerang mengirim file yang sudah dirancang untuk memicu celah, lalu membujuk korban membukanya. Tidak ada cara memaksa korban, jadi semuanya bergantung pada satu klik.

CISA memasukkan celah ini ke katalog Known Exploited Vulnerabilities pada 13 Oktober dan memberi tenggat 16 Oktober untuk instansi federal Amerika. Dua celah lain sudah diketahui publik sebelum patch keluar: CVE-2026-108398, bypass WDAC di .NET dengan skor 8.8, dan CVE-2026-92707, denial of service di MessagePack-CSharp dengan skor 5.3.

Baca juga: OpenAI Akuisisi Orchestra Bio, Agen AI yang Urus Birokrasi Pengembangan Obat

Tiga pelajaran yang Microsoft tarik sendiri

Taesoo Kim, Vice President Agentic Security di Microsoft, menulis bahwa menemukan satu celah sulit itu bukti kemampuan AI. Tapi mengubah temuan itu jadi patch yang benar-benar terpasang butuh sistem lain, yaitu validasi dan remediasi yang bisa mengejar kecepatan penemuan. Kalimatnya begini: nilai keamanan baru muncul kalau validasi dan remediasi bisa mengimbangi penemuan.

Dari situ mereka merumuskan tiga pergeseran:

• Dari kemampuan model frontier ke skala. Satu temuan keren tidak berarti apa-apa kalau tidak bisa diulang ratusan kali dengan kualitas sama.
• Dari konsumsi token ke ekonomi reasoning. Biaya menjalankan agen jadi pertimbangan nyata, bukan sekadar seberapa pintar modelnya.
• Validasi dan remediasi sebagai siklus belajar. Setiap patch yang gagal atau regresi jadi umpan balik buat pencarian berikutnya.

Yang menarik, tiga poin itu bukan soal teknologi AI-nya, tapi soal proses. AI mempercepat bagian yang paling menyenangkan, yaitu berburu bug. Bagian yang membosankan, yaitu menguji, memprioritaskan, dan mendistribusikan patch, tetap kerja manusia dan tetap lambat.

Artinya buat pengguna Windows di Indonesia

Untuk pengguna rumahan, pesannya sederhana dan agak membosankan: pasang update. Celah keamanan Windows yang satu itu sudah dipakai di lapangan, dan biasanya masuk lewat lampiran email atau file yang dikirim di grup chat. Kalau Windows Update dimatikan atau ditunda berbulan-bulan, kamu berjalan dengan pintu yang sudah diketahui kuncinya.

Cek dulu build Windows kamu. Buka Settings, masuk ke Windows Update, lalu lihat apakah pembaruan Oktober sudah terpasang. Kalau tombolnya menampilkan “You’re up to date” tapi terakhir cek seminggu lalu, tekan tombol cek update manual. Jangan cuma percaya status lama.

Untuk tim IT, beban triase naik drastis. Seribu lebih patch tidak mungkin dipasang semua di hari pertama tanpa risiko gangguan operasional. Urutan yang masuk akal: dahulukan celah yang sudah masuk katalog KEV, lalu yang berlabel kritis dan bisa dieksploitasi lewat jaringan, baru sisanya. Sisanya jangan ditinggal, cukup dijadwalkan bertahap dengan catatan versi.

Langkah praktis minggu ini

• Pasang pembaruan Oktober 2026, terutama di perangkat yang dipakai buka email dan file kiriman orang lain.
• Matikan kebiasaan membuka lampiran dari pengirim tak dikenal, karena celah MOTW bergantung pada satu klik korban.
• Catat versi build sebelum dan sesudah update, supaya gampang balik kalau ada aplikasi yang rusak.
• Untuk kantor, prioritaskan perangkat dengan hak administrator dan server yang terekspos internet.
• Jangan menunda sampai bulan depan. Bulan depan sudah ada tumpukan baru.

Yang paling saya soroti dari angka ini bukan soal Microsoft kalah atau menang. Ini gambaran cara ngurus software ke depan: penemuan celah jadi murah dan cepat karena AI, sementara memperbaiki dan memasang tambalan tetap mahal. Selama selisih itu ada, jumlah celah keamanan Windows sebesar Oktober 2026 akan jadi hal biasa, bukan kejadian langka. Buat pengguna, satu-satunya jawaban realistis adalah rajin update dan tidak menunda.

Sumber

Data angka patch dan rincian CVE diambil dari pengumuman Patch Tuesday Oktober 2026 yang dilaporkan SecurityWeek dan Security Boulevard. Penjelasan soal lab FORGE dan tiga pelajaran riset diambil dari tulisan resmi Microsoft Security Blog. Versi Indonesia dari cerita ini diberitakan detikINET.