JAVASCORNER.CO.ID, JAKARTA - Microsoft baru saja merilis tambalan keamanan untuk kerentanan dengan tingkat keparahan maksimum pada layanan identitas cloud mereka, Entra ID. Kerentanan yang tercatat sebagai CVE-2026-69836 dengan skor CVSS 10.0 ini sempat diklaim telah dieksploitasi di lapangan, namun kemudian dikoreksi oleh Microsoft.
Detail Kerentanan
Kerentanan CVE-2026-69836 merupakan kasus eksekusi kode jarak jauh yang memengaruhi Microsoft Entra ID, layanan manajemen identitas dan akses berbasis cloud yang sebelumnya dikenal sebagai Azure Active Directory (Azure AD).
Menurut peringatan yang dirilis Microsoft pada Kamis, kerentanan ini disebabkan oleh deserialisasi data yang tidak tepercaya. Hal ini memungkinkan penyerang yang tidak berwenang untuk mengeksekusi kode melalui jaringan.
Deserialisasi yang tidak aman terjadi ketika aplikasi mengonversi data yang dikendalikan pengguna kembali menjadi objek aktif tanpa validasi yang tepat. Akibatnya, penyerang dapat menjalankan kode berbahaya, menyebabkan penolakan layanan, atau melewati kontrol akses.
Klarifikasi Microsoft
Awalnya, buletin keamanan Microsoft menandai kolom "Dieksploitasi" dengan "Ya". Namun, setelah The Hacker News menghubungi perusahaan tersebut, Microsoft mengoreksi status tersebut menjadi "Tidak" pada 21 Agustus 2026.
Juru bicara Microsoft menegaskan, "Kami telah mengidentifikasi dan mengatasi masalah ini dengan perbaikan dan merilis CVE-2026-69836 untuk transparansi yang lebih besar. Tidak ada tindakan tambahan yang perlu dilakukan pelanggan."
Mereka juga menambahkan bahwa kerentanan ini tidak dieksploitasi di dunia nyata. Judul berita awal yang menyebutkan eksploitasi telah diedit untuk mencerminkan perubahan ini.
Dampak dan Tindakan
Meskipun tidak ada bukti eksploitasi aktif, tingkat keparahan maksimum menjadikan kerentanan ini sangat serius. Jika berhasil dieksploitasi, penyerang dapat mengambil alih sistem atau mengakses data sensitif.
Microsoft menyatakan bahwa kerentanan ini telah sepenuhnya diatasi dan pelanggan tidak perlu melakukan tindakan apa pun. Namun, organisasi yang menggunakan Entra ID disarankan untuk memverifikasi bahwa pembaruan otomatis telah diterapkan.
Perusahaan juga memberikan penghargaan kepada Robert Fitzpatrick, kepala teknisi keamanan, yang menemukan dan melaporkan masalah ini.
Konteks Keamanan Siber
Penemuan ini muncul di tengah meningkatnya ancaman siber global. Awal bulan ini, Microsoft juga menambal celah keamanan zero-day pada Windows Ancillary Function Driver for WinSock (CVE-2026-68820, skor CVSS 7.0) yang dieksploitasi oleh kelompok Lazarus Group dari Korea Utara dalam kampanye yang disebut Operasi Dream Job.
Para ahli menekankan pentingnya menjaga sistem tetap diperbarui dan memantau indikator kompromi. Organisasi harus memastikan bahwa solusi keamanan mereka aktif dan responsif terhadap ancaman terbaru.
Dengan tambalan ini, Microsoft menunjukkan komitmennya dalam melindungi pengguna dari ancaman yang terus berkembang. Pengguna diharapkan untuk selalu waspada dan mengikuti perkembangan keamanan siber.
