Microsoft merilis Patch Tuesday November 2026 pada 10 November dengan 1.093 celah baru, di luar Edge. Angka itu turun dari rekor 1.407 pada Oktober, tetapi masih terbesar kedua yang pernah tercatat, menurut IT-Connect. Satu di antaranya zero-day Outlook yang sudah dieksploitasi.
Zero-day Outlook
CVE-2026-124194 adalah celah spoofing di Outlook dengan skor CVSS 6,5, berperingkat menengah. Microsoft mengonfirmasi eksploitasi, tetapi belum menyebut pelaku, korban, atau skala kampanyenya. Penyerang mengirim berkas pesan yang dirancang khusus dan membujuk penerima membukanya. Outlook lalu bisa menghubungi lokasi jaringan milik penyerang tanpa peringatan konten eksternal yang biasa, sehingga hash NTLMv2 pengguna berpotensi bocor. Serangan butuh interaksi pengguna, dan Preview Pane bukan jalurnya, menurut CyberPress.
Produk terdampak adalah Microsoft 365 Apps for Enterprise, Office LTSC 2021, dan Office LTSC 2024. IT-Connect mencatat build perbaikan 16.0.14334.21048 untuk LTSC 2021 dan 16.0.17932.21140 untuk LTSC 2024. Karena sudah dieksploitasi, celah ini layak didahulukan meski skornya tidak tinggi.
Rincian jumlahnya
Dari 1.093 celah, 63 berperingkat kritis, 1.029 penting, dan satu menengah. Sebagian besar adalah eskalasi hak (sekitar 535) dan eksekusi kode jarak jauh (296). Per produk, Windows memuat 733 celah, Office 174, SQL Server 52, SharePoint Server 27, dan Exchange Server 9.
Celah kritis lain yang perlu dicek
Tiga celah kritis Outlook (CVE-2026-110043, CVE-2026-110068, CVE-2026-111309, skor 8,8) memakai Preview Pane sebagai jalur, jadi sekadar mempratinjau email berbahaya sudah cukup. Belum ada yang ditandai dieksploitasi. CVE-2026-119958 di LDAP (9,8) memungkinkan eksekusi kode jarak jauh tanpa login pada domain controller, meski Microsoft menilai eksploitasi “kurang mungkin”. CVE-2026-116928 di Windows Search (9,8) bisa dipicu lampiran email yang diproses server Exchange. Exchange Server sendiri mendapat perbaikan CVE-2026-118207 lewat KB5133453 untuk Exchange SE.
Windows 11 23H2 edisi Enterprise dan Education menerima pembaruan terakhirnya bulan ini. IT-Connect juga mencatat pembaruan 10 November memperbaiki gangguan OWA dan pengiriman email Exchange pada Oktober. Urutan kerja yang masuk akal: Outlook dan Office dulu, lalu domain controller dan Exchange, baru sisanya lewat Security Update Guide.
Sumber: CyberPress, IT-Connect. Gambar: CyberPress.