Microsoft Rilis Patch Selasa Maret 2026: 77 Kerentanan Diperbaiki, Termasuk Celah Kritis AI

Microsoft Perbaiki 77 Kerentanan dalam Patch Selasa Maret 2026

Microsoft Corp. hari ini merilis pembaruan keamanan untuk memperbaiki setidaknya 77 kerentanan pada sistem operasi Windows dan perangkat lunak lainnya. Meskipun tidak ada zero-day kritis yang mendesak bulan ini—berbeda dengan lima zero-day pada Februari—beberapa pembaruan tetap memerlukan perhatian segera dari organisasi pengguna Windows.

Dua Kerentanan Telah Diungkapkan Publik

Dua dari kerentanan yang diperbaiki merupakan celah yang sebelumnya telah diungkapkan publik. CVE-2026-21262 adalah kerentanan yang memungkinkan penyerang menaikkan hak akses mereka pada SQL Server 2016 dan versi selanjutnya.

“Ini bukan sekadar kerentanan peningkatan hak akses biasa. Catatan resmi menyatakan bahwa penyerang yang terotorisasi dapat menaikkan hak akses hingga level sysadmin melalui jaringan,” ujar Adam Barnett dari Rapid7.

Dengan skor CVSS v3 sebesar 8,8, kerentanan ini hampir masuk kategori kritis karena memerlukan hak akses tingkat rendah. Para ahli keamanan menyarankan untuk tidak menunda penerapan pembaruan ini.

Kerentanan publik lainnya adalah CVE-2026-26127, celah pada aplikasi yang berjalan di .NET. Menurut Barnett, dampak langsung eksploitasi kemungkinan terbatas pada denial of service akibat crash, namun berpotensi menimbulkan serangan lain saat layanan direstart.

Celah Kritis pada Microsoft Office

Patch Selasa kali ini juga mencakup setidaknya dua kerentanan kritis pada Microsoft Office. CVE-2026-26113 dan CVE-2026-26110 merupakan celah remote code execution yang dapat dieksekusi hanya dengan melihat pesan berbahaya di panel Pratinjau.

Mayoritas Kerentanan Merupakan Celah Peningkatan Hak Akses

Menurut Satnam Narang dari Tenable, lebih dari separuh (55%) kerentanan yang diperbaiki bulan ini merupakan celah peningkatan hak akses. Enam di antaranya bahkan diberi peringkat “eksploitasi lebih mungkin”, meliputi:

• CVE-2026-24291: Pemberian izin yang salah pada Infrastruktur Aksesibilitas Windows untuk mencapai level SYSTEM (skor CVSS 7,8)
• CVE-2026-24294: Autentikasi yang tidak tepat pada komponen inti SMB (skor CVSS 7,8)
• CVE-2026-24289: Kerentanan korupsi memori dan kondisi balapan tingkat tinggi (skor CVSS 7,8)
• CVE-2026-25187: Kelemahan pada proses Winlogon yang ditemukan oleh Google Project Zero (skor CVSS 7,8)

Celah Kritis Ditemukan oleh AI Tanpa Akses Kode Sumber

Ben McCarthy, kepala insinyur keamanan siber di Immersive, menyoroti CVE-2026-21536, sebuah kerentanan remote code execution kritis pada komponen Microsoft Devices Pricing Program. Meskipun Microsoft telah memperbaikinya, celah ini menarik karena ditemukan oleh agen AI otonom bernama XBOW.

“Meskipun Microsoft telah menerapkan pembaruan, celah ini menunjukkan bagaimana agen AI dapat mengidentifikasi kerentanan kritis dengan skor 9,8 tanpa akses ke kode sumber,” kata McCarthy.

XBOW, yang secara konsisten menduduki peringkat teratas dalam papan peringkat bug bounty Hacker One selama setahun terakhir, berhasil menemukan kerentanan ini secara mandiri.

McCarthy menambahkan bahwa penemuan ini menandai pergeseran dalam penelitian kerentanan, di mana AI berperan semakin besar dalam menemukan celah keamanan kompleks dengan kecepatan tinggi.

Rekomendasi untuk Organisasi

Para ahli keamanan menyarankan organisasi untuk segera menerapkan pembaruan keamanan yang dirilis Microsoft guna mengurangi risiko eksploitasi. Meskipun tidak ada zero-day kritis bulan ini, beberapa kerentanan—terutama yang berkaitan dengan peningkatan hak akses dan eksekusi kode jarak jauh—tetap menjadi ancaman serius.