Microsoft merilis pembaruan keamanan pada 10 November 2026 untuk Windows, Office, dan produk lainnya. Salah satu celah yang ditutup berada di Outlook dan dilacak sebagai CVE-2026-124194.
Microsoft menyatakan celah tersebut sudah dieksploitasi oleh penyerang. Advisory perusahaan mengkreditkan peneliti bernama samaran “nono” bersama Benoît Sevens, dengan pengakuan “using Claude with Anthropic”.
File Pesan Menjadi Titik Masuk
Microsoft mengklasifikasikan CVE-2026-124194 sebagai kerentanan spoofing dengan tingkat Moderate dan skor CVSS 6,5. Serangan dapat dimulai ketika korban membuka file pesan yang telah dirancang khusus di Outlook.
Setelah file dibuka, Outlook dapat terhubung ke server yang dikendalikan penyerang tanpa menampilkan peringatan eksternal konten seperti biasanya. Microsoft menyebut kelemahan ini “discloses a user’s NTLMv2 hash to the attacker who could use this to authenticate as the user.”
Preview Pane tidak menjadi jalur serangan dalam kasus ini. Artinya, korban perlu membuka file tersebut agar eksploitasi dapat berjalan.
Microsoft belum membagikan rincian mengenai serangan yang telah memanfaatkan celah itu. Produk terdampak yang tercantum meliputi Microsoft 365 Apps for Enterprise, Office LTSC 2021, dan Office LTSC 2024.
Office 2016 serta Office 2019 tidak tercantum dalam daftar produk terdampak. Namun, keduanya juga tidak lagi menerima pembaruan keamanan sejak Oktober 2025.
Ribuan Perbaikan Dalam Rilis November
Tenable menghitung ada 1.093 CVE Microsoft dalam rilis ini, termasuk 63 kerentanan berstatus Critical. SecurityWeek mencatat angka yang sedikit berbeda, yaitu 1.094 kerentanan.
Security Update Guide milik Microsoft memuat lebih banyak entri karena juga memasukkan masalah dari pihak ketiga, termasuk Chromium. Pada Oktober, Microsoft memperbaiki rekor 1.413 kerentanan menurut SecurityWeek.
Brian Krebs menyoroti bahwa Microsoft rata-rata menangani sekitar 100 patch per bulan setahun sebelumnya. Ia juga menyebut kemajuan AI dikreditkan perusahaan sebagai salah satu faktor yang membantu menemukan dan memperbaiki lebih banyak bug.
Perusahaan AI juga menyatakan model mereka semakin mampu menemukan kelemahan keamanan. OpenAI menilai model GPT-6 Cyber berada pada tingkat Critical dalam kerangka risikonya sendiri.
Langkah Memasang Pembaruan
- Di Windows 11, buka Settings lalu pilih Windows Update untuk memasang pembaruan November KB5132061. Pembaruan Office biasanya terpasang otomatis melalui mekanisme pembaruan aplikasi.
- Pengguna yang ingin mempercepat proses dapat membuka Outlook, memilih File, Office Account, lalu Update Options dan Update Now. Perbaikan untuk Office LTSC 2024 tersedia pada build 16.0.17932.21140.
- Untuk Office LTSC 2021, perbaikan tersedia pada build 16.0.14334.21048. Sebelum pembaruan terpasang, pengguna disarankan tidak membuka file pesan atau dokumen Office dari email tak terduga, meski pengirimnya tampak dikenal.
Krebs juga merekomendasikan pencadangan data penting sebelum memasang pembaruan sistem operasi. Langkah ini dapat membantu pengguna menjaga data jika terjadi kendala saat proses pembaruan.
