Patch Tuesday Februari 2026: Enam Zero-Day Windows dan Office

Patch Tuesday Februari 2026 yang dirilis Microsoft pada 10 Februari 2026 memperbaiki 58 celah dan menyertakan enam zero-day Windows dan Office yang sudah dieksploitasi di dunia nyata. Semuanya langsung masuk katalog CISA KEV, sehingga pembaruan ini perlu dipasang cepat di seluruh endpoint dan server, bukan menunggu jadwal bulanan biasa.

Ringkasan Enam Zero-Day Patch Tuesday Februari 2026

• CVE-2026-21510 (Windows Shell): bypass fitur keamanan yang melewati SmartScreen dan prompt Windows Shell, CVSS 3.1 8,8. Diungkap publik sebelum patch.
• CVE-2026-21513 (MSHTML Framework): bypass fitur keamanan lewat jaringan, CVSS 3.1 8,8. Diungkap publik sebelum patch.
• CVE-2026-21514 (Microsoft Word): bypass fitur keamanan yang melewati mitigasi OLE, CVSS 3.1 7,8. Diungkap publik sebelum patch.
• CVE-2026-21519 (Desktop Window Manager): peningkatan hak akses lokal akibat type confusion, dapat memberi hak SYSTEM menurut Microsoft, CVSS 3.1 7,8.
• CVE-2026-21525 (Windows Remote Access Connection Manager): denial of service lokal akibat null pointer dereference, CVSS 3.1 6,2.
• CVE-2026-21533 (Windows Remote Desktop Services): peningkatan hak akses lokal akibat manajemen hak istimewa yang tidak tepat, CVSS 3.1 7,8.
• Status eksploitasi: keenamnya dieksploitasi dan ditambahkan CISA ke KEV pada 10 Februari 2026 dengan batas patch federal 3 Maret 2026. Skor CVSS di atas adalah penilaian Microsoft pada catatan CVE.

Apa yang Terjadi di Patch Tuesday Februari 2026

Menurut BleepingComputer, rilis Februari memuat 58 celah, di luar tiga celah Microsoft Edge yang diperbaiki lebih awal. Rinciannya: 25 peningkatan hak akses, 12 eksekusi kode jarak jauh, 7 spoofing, 6 pengungkapan informasi, 5 bypass fitur keamanan, dan 3 denial of service. Lima celah berstatus Critical, semuanya pada layanan Azure.

Tiga zero-day pertama adalah bypass fitur keamanan yang dikreditkan kepada tim Microsoft (MSTIC, MSRC, Office Product Group Security Team) bersama Google Threat Intelligence Group, dua di antaranya juga kepada peneliti anonim. CVE-2026-21519 dikreditkan kepada MSTIC dan MSRC. Microsoft tidak membagikan detail cara celah-celah ini dieksploitasi. Zero-day CVE-2026-21525 ditemukan oleh ACROS Security dengan 0patch. CEO ACROS, Mitja Kolsek, menyatakan mereka menemukan exploit-nya di repositori malware publik pada Desember 2025 dan tidak memiliki informasi apakah exploit itu dipakai dalam serangan. CVE-2026-21533 ditemukan oleh tim riset CrowdStrike, dan CrowdStrike menyebut exploit-nya mengubah kunci konfigurasi layanan sehingga dapat menambahkan pengguna baru ke grup Administrator, tanpa menyebut pelaku tertentu.

Mengapa Bypass Fitur Keamanan Berbahaya

Bypass seperti pada Windows Shell, MSHTML, dan Word biasanya tidak berjalan sendirian. Ia dipakai untuk menghilangkan lapisan perlindungan, misalnya SmartScreen dan prompt Windows Shell pada CVE-2026-21510 atau mitigasi OLE pada CVE-2026-21514, sehingga berkas atau tautan berbahaya terasa aman bagi pengguna. BleepingComputer menduga CVE-2026-21510 juga melewati peringatan Mark-of-the-Web, meski Microsoft tidak mengonfirmasinya. Itu artinya pertahanan yang hanya mengandalkan peringatan pada pengguna tidak cukup. Peningkatan hak akses seperti CVE-2026-21519 dan CVE-2026-21533 dipakai setelah penyerang punya pijakan awal, untuk naik menjadi SYSTEM atau administrator. Secara konsep, bila kedua jenis celah ini dirangkai, penyerang bisa bergerak dari satu klik pengguna sampai kendali penuh atas mesin.

Kaitan dengan Zero-Day Windows AFD.sys dan Lazarus

Pola serupa muncul lagi pada Patch Tuesday Agustus 2026 (11 Agustus), ketika menurut BleepingComputer Microsoft memperbaiki sekitar 400 celah dan tiga zero-day. Salah satunya CVE-2026-68820, use-after-free pada Windows Ancillary Function Driver for WinSock (afd.sys) yang memungkinkan pengguna lokal naik ke SYSTEM melalui race condition. CISA memasukkannya ke KEV pada hari yang sama. Penemuan celah ini dikreditkan kepada Moshe Marelus dan David Driker dari Check Point. Menurut BleepingComputer, Check Point dalam laporannya mengaitkan eksploitasi celah ini dengan kelompok Korea Utara Lazarus, yang memakainya untuk memasang versi baru rootkit mode kernel FudModule. Atribusi ini berasal dari Check Point, sedangkan Microsoft tidak membagikan detail eksploitasinya. Dua zero-day lain pada bulan itu sudah diungkap publik sebelum patch: CVE-2026-62832 (peningkatan hak akses pada Windows User Profile Service) dan CVE-2026-72971 (tampering pada driver unionfs.sys).

Cara Memastikan Sistem Anda Aman

1. Patch dulu. Pasang pembaruan Windows dan Office terbaru di endpoint dan server. Prioritaskan mesin yang dipakai pengguna membuka email dan berkas dari luar.
2. Jangan bergantung pada satu lapisan. Padukan peringatan bawaan seperti Mark-of-the-Web, SmartScreen, dan Protected View dengan EDR dan application allowlisting, karena peringatan semacam itu bisa dilewati.
3. Pantau perubahan grup Administrator. Beri peringatan bila ada penambahan akun ke grup Administrator lokal yang tidak terjadwal, indikasi yang disebut CrowdStrike untuk CVE-2026-21533.
4. Pantau lonjakan hak akses. Alert untuk proses yang naik dari pengguna biasa ke SYSTEM, dan perilaku driver kernel yang janggal.
5. Aktifkan perlindungan kernel. Gunakan HVCI dan blocklist driver pada perangkat yang mendukung.
6. Bangun siklus patch yang jelas. Terapkan patch management berbasis risiko dan gunakan CISA KEV sebagai penentu prioritas.

Daftar resmi kerentanan yang ditambahkan ke KEV dapat dilihat pada pengumuman CISA 10 Februari 2026. Untuk memahami istilah seperti CVE dan zero-day, lihat apa itu CVE.

Relevansi bagi Organisasi di Indonesia

Sebagian besar kantor, instansi, dan perusahaan di Indonesia memakai Windows dan Microsoft Office sebagai standar harian, sehingga setiap zero-day pada keduanya langsung relevan. Tantangan umumnya bukan teknis, melainkan operasional: pembaruan ditunda karena takut mengganggu aplikasi lama, perangkat tidak terdata, atau pengguna jarang me-restart. Tetapkan jadwal pengujian patch yang singkat, sediakan kelompok pilot, dan pastikan laptop pegawai yang bekerja jarak jauh ikut terpantau. Untuk server, bedakan jendela patch sistem yang menghadap internet dan sistem internal agar yang paling berisiko ditambal lebih dahulu.

Linimasa Singkat

• Desember 2025: ACROS menemukan exploit CVE-2026-21525 di repositori malware publik.
• 10 Februari 2026: Patch Tuesday, enam zero-day diperbaiki dan masuk KEV.
• 11 Agustus 2026: Patch Tuesday memperbaiki CVE-2026-68820 (afd.sys), masuk KEV.

Baca juga: Zero-Day Ivanti Connect Secure dan EPMM 2026, Zero-Day Adobe Acrobat Reader CVE-2026-34621.

Pertanyaan yang Sering Diajukan

Apakah patch Februari 2026 masih perlu dipasang sekarang?

Ya. Per 29 Oktober 2026, celah yang sudah dieksploitasi tetap berbahaya pada sistem yang belum diperbarui, dan pembaruan kumulatif Windows terbaru sudah mencakupnya.

Apakah ransomware dipakai pada enam zero-day ini?

Per 28 Oktober 2026, katalog CISA KEV mencatat status penggunaan ransomware keenam celah tersebut sebagai tidak diketahui (Unknown). Microsoft juga tidak menyebut pelaku tertentu untuk kelompok Februari.

Bagaimana bila saya tidak bisa langsung memasang patch?

Batasi berkas dan tautan dari sumber tak tepercaya, aktifkan EDR dan allowlisting, dan pantau hak akses. Jadwalkan patch dalam hitungan hari, bukan minggu.

Kesimpulan

Patch Tuesday Februari 2026 menunjukkan bahwa zero-day Windows dan Office sering berupa rantai: bypass peringatan, lalu peningkatan hak akses. Pasang pembaruan segera, tambahkan lapisan deteksi, dan biasakan memantau KEV. Untuk membekali tim Anda memahami rantai serangan ini secara praktis, jelajahi kursus keamanan Linuxhackingid.