Celah WSUS CVE-2025-59287 dan Zero-Day Exchange OWA

Celah WSUS CVE-2025-59287 dan zero-day Exchange OWA CVE-2026-42897 mengingatkan bahwa server Microsoft on-premises masih menjadi target utama. WSUS yang rentan memberi penyerang kendali SYSTEM atas server pembaruan, sedangkan celah Exchange memungkinkan skrip berjalan di browser pengguna saat email dibuka di Outlook Web Access. Keduanya sudah dieksploitasi dan masuk katalog CISA KEV.

Ringkasan Celah WSUS CVE-2025-59287 dan Exchange CVE-2026-42897

• WSUS, CVE-2025-59287: deserialisasi data tidak tepercaya yang berujung eksekusi kode jarak jauh tanpa autentikasi dengan hak SYSTEM. CVSS 3.1 9,8, dinilai Microsoft pada catatan CVE.
• Produk WSUS terdampak: Windows Server 2012, 2012 R2, 2016, 2019, 2022 (termasuk 23H2), dan 2025, hanya bila peran WSUS Server aktif. Peran ini tidak aktif secara default.
• Perbaikan WSUS: perbaikan awal pada Patch Tuesday 14 Oktober 2025 tidak tuntas. Microsoft merilis pembaruan darurat out-of-band pada 23 Oktober 2025. KEV pada 24 Oktober 2025.
• Exchange, CVE-2026-42897: cross-site scripting (spoofing) pada Outlook Web Access, CVSS 3.1 8,1 (High) menurut Microsoft. Dieksploitasi sebelum patch, KEV pada 15 Mei 2026.
• Exchange terdampak: Exchange Server on-premises Subscription Edition RTM, 2019, dan 2016. Exchange Online tidak terdampak.
• Perbaikan Exchange: dirilis Juni 2026 (Help Net Security memperbarui laporannya pada 10 Juni 2026). Exchange 2016 dan 2019 hanya menerima pembaruan keamanan melalui program Extended Security Updates (ESU).

Celah WSUS CVE-2025-59287: Apa yang Terjadi

WSUS adalah layanan yang mendistribusikan pembaruan Windows ke seluruh komputer organisasi. Unit 42 menjelaskan bahwa celahnya ada pada deserialisasi objek yang tidak aman ketika server menerima permintaan yang dibuat khusus. Penyerang tanpa autentikasi dapat membuat server menjalankan kode dengan hak SYSTEM. Setelah perbaikan awal terbukti tidak lengkap, Microsoft merilis pembaruan darurat pada 23 Oktober 2025. Menurut Unit 42, eksploitasi terlihat dalam hitungan jam setelah pembaruan darurat itu, dan CISA menambahkannya ke KEV pada 24 Oktober 2025.

Unit 42 mengamati aktivitas pascaeksploitasi berupa proses anak dari layanan WSUS atau IIS yang menjalankan perintah shell dan perintah pengintaian. Cortex Xpanse milik Palo Alto Networks mencatat sekitar 5.500 instans WSUS yang terpapar ke internet. Unit 42 menyebut membuka layanan internal seperti WSUS ke internet sebagai salah konfigurasi yang serius, dan server WSUS yang dibobol dapat menjadi pijakan untuk pergerakan lateral dan kompromi jaringan yang luas.

Zero-Day Exchange OWA dan Lanjutannya

Pada 14 Mei 2026 Microsoft memperingatkan serangan aktif terhadap CVE-2026-42897, celah yang dilaporkan oleh peneliti anonim. Penyerang mengirim email yang dibuat khusus, dan bila pengguna membukanya di OWA dengan kondisi interaksi tertentu, JavaScript sembarang dapat berjalan dalam konteks browser. Microsoft belum membuka detail serangannya. Sebelum patch, mitigasi tersedia lewat Exchange Emergency Mitigation Service (aktif secara default) atau skrip Exchange On-premises Mitigation Tool. Microsoft menyarankan mitigasi tetap dipertahankan sebagai lapisan tambahan setelah patch.

Celah lanjutan, CVE-2026-62911, adalah peningkatan hak akses lewat bypass autentikasi capture-replay yang memerlukan penyerang terautentikasi (CVSS 3.1 8,0 menurut Microsoft). Celah ini ditemukan Orange Tsai dari DEVCORE dan diperbaiki pada Patch Tuesday Agustus 2026. Menurut BleepingComputer, NCSC Belanda melaporkan kode eksploitasinya sudah beredar di internet, tetapi belum ada konfirmasi eksploitasi di dunia nyata. Dalam laporan yang sama, BleepingComputer (1 September 2026) mengutip Shadowserver yang mencatat 21.899 alamat IP dengan sidik Exchange yang belum ditambal dan terpapar internet, serta BSI Jerman yang memperkirakan sekitar 85 persen Exchange on-premises di Jerman masih rentan.

Siapa yang Terdampak dan Relevansi bagi Indonesia

Banyak perusahaan dan instansi di Indonesia masih menjalankan Exchange dan WSUS on-premises karena kebutuhan kepatuhan atau investasi lama. Menurut Microsoft seperti dikutip BleepingComputer, pembaruan keamanan untuk Exchange 2016 dan 2019 melalui program ESU berhenti pada Oktober 2026, sehingga setelah itu perbaikan tidak akan datang lagi untuk server yang belum bermigrasi. Bila masih memakai versi itu, rencanakan migrasi ke Exchange SE atau layanan cloud sekarang.

Cara Mengecek dan Memitigasi Celah WSUS dan Exchange

1. Inventarisasi. Cari server dengan peran WSUS dan semua server Exchange, beserta versi dan CU-nya.
2. Pasang pembaruan. Untuk WSUS, pasang pembaruan out-of-band 23 Oktober 2025 atau kumulatif yang lebih baru. Untuk Exchange, pasang patch Juni 2026 dan Agustus 2026.
3. Bila belum bisa patch WSUS. Nonaktifkan peran WSUS atau blokir TCP 8530 dan 8531 masuk di firewall host. Keduanya menghentikan distribusi pembaruan, jadi hanya sebagai langkah sementara.
4. Jangan buka WSUS ke internet. Batasi hanya untuk klien internal.
5. Batasi OWA. Pertimbangkan akses OWA lewat VPN atau reverse proxy dengan autentikasi multifaktor, dan biarkan Emergency Mitigation Service aktif.
6. Pemantauan. Cari proses anak tak lazim dari proses WSUS (wsusservice.exe) atau pool aplikasi IIS (w3wp.exe) yang menjalankan cmd atau PowerShell, seperti yang diamati Unit 42, dan aktivitas OWA yang janggal. Tinjau log setelah patch karena eksploitasi dapat terjadi sebelumnya.

Pelajari cara menetapkan prioritas lewat CISA KEV dan pola serupa pada gelombang eksploitasi SharePoint Server. Bacaan teknis resmi ada pada analisis Unit 42 dan laporan Help Net Security.

Pelajaran dari Dua Kasus Ini

Kedua celah punya akar masalah yang sama: layanan yang seharusnya hanya melayani jaringan internal menjadi target karena terpapar atau lambat ditambal. Terapkan prinsip bahwa server infrastruktur seperti WSUS dan Exchange tidak langsung berhadapan dengan internet, dipantau secara khusus, dan memiliki jadwal patch tersendiri. Bila server sudah memasuki akhir masa dukungan, jangan menunggu insiden untuk memutuskan migrasi. Perangkat lunak yang tidak lagi menerima perbaikan akan terus menumpuk celah yang tidak dapat ditutup.

Linimasa Singkat

• 14 Oktober 2025: Patch Tuesday, perbaikan WSUS pertama (tidak tuntas).
• 23-24 Oktober 2025: pembaruan darurat, lalu KEV.
• 14-15 Mei 2026: peringatan Microsoft dan KEV untuk Exchange CVE-2026-42897.
• Juni 2026: patch Exchange untuk CVE-2026-42897.
• Agustus 2026: patch CVE-2026-62911. Oktober 2026: pembaruan ESU Exchange 2016 dan 2019 berhenti.

Baca juga: Celah SAP NetWeaver Visual Composer CVE-2025-31324, Celah WinRAR CVE-2025-8088: Arsip Berbahaya yang Dipakai Kelompok APT.

Pertanyaan yang Sering Diajukan

Apakah semua server Windows terdampak WSUS CVE-2025-59287?

Tidak. Hanya server dengan peran WSUS Server aktif. Peran itu tidak aktif secara default.

Apakah Exchange Online terdampak?

Tidak untuk CVE-2026-42897. Celah ini hanya untuk Exchange Server on-premises.

Apa itu zero-day pada kasus Exchange ini?

Celah yang sudah dieksploitasi sebelum patch tersedia. Penjelasan lengkapnya ada pada artikel kerentanan zero-day.

Kesimpulan

Per 29 Oktober 2026, WSUS CVE-2025-59287 dan zero-day Exchange OWA menunjukkan risiko server Microsoft on-premises yang terlambat ditambal atau terpapar internet. Inventarisasi, patch, batasi akses, dan rencanakan migrasi sebelum ESU berakhir. Untuk memeriksa paparan server Anda, hubungi tim Linuxhackingid.