CISA Masukkan Dua Kerentanan Zero‑Day Microsoft Defender yang Sedang Dieksploitasi

Microsoft Defender kembali menjadi sorotan keamanan setelah dua kerentanan zero‑day—CVE‑2026‑41091 dan CVE‑2026‑45498—dikonfirmasi sedang dieksploitasi di dunia nyata. Badan keamanan siber Amerika Serikat, Cybersecurity and Infrastructure Security Agency (CISA), menambahkan keduanya ke dalam Known Exploited Vulnerabilities (KEV) Catalog pada 20 Mei 2026, sebuah daftar resmi bug yang terbukti dimanfaatkan oleh penyerang.

Masuknya sebuah CVE ke katalog KEV biasanya berarti organisasi—terutama lembaga pemerintah AS—harus segera melakukan mitigasi atau patching sesuai arahan vendor untuk mengurangi risiko kompromi sistem.

CVE‑2026‑41091: Eskalasi Hak Akses melalui "Link Following"

Kerentanan pertama, CVE‑2026‑41091, adalah bug local privilege escalation (LPE) pada Microsoft Defender.

Masalah ini terjadi karena Microsoft Malware Protection Engine tidak menangani resolusi link secara benar sebelum mengakses file, sebuah kelemahan yang dikenal sebagai improper link resolution atau link following.

Dalam kondisi tertentu, penyerang yang sudah memiliki akses lokal terbatas dapat memanfaatkan mekanisme tersebut untuk memanipulasi jalur file dan mendapatkan hak akses yang lebih tinggi.

Jika eksploitasi berhasil, penyerang dapat memperoleh hak akses tingkat SYSTEM, yaitu level privilese tertinggi pada Windows. Dengan akses ini, penyerang berpotensi mengontrol sistem secara penuh—termasuk membaca, memodifikasi, atau menghapus data serta menjalankan kode berbahaya.

Detail utama CVE‑2026‑41091:

• Jenis kerentanan: Elevation of Privilege (eskalasi hak akses)
• Penyebab: Improper link resolution sebelum akses file (link following)
• Skor CVSS 3.1: 7.8 (High)
• Dampak: Penyerang lokal dapat memperoleh hak akses SYSTEM
• Status: Aktif dieksploitasi di alam liar

Kerentanan ini memengaruhi komponen Microsoft Malware Protection Engine, yang menjadi inti dari fitur deteksi dan pemindaian antivirus pada Microsoft Defender. Beberapa laporan menyebutkan rentang engine yang terdampak mencakup versi sebelum pembaruan keamanan yang dirilis Microsoft pada Mei 2026.

CVE‑2026‑45498: Kerentanan Denial‑of‑Service di Microsoft Defender

Kerentanan kedua, CVE‑2026‑45498, memungkinkan serangan denial‑of‑service (DoS) terhadap Microsoft Defender.

Berbeda dengan CVE sebelumnya, detail teknis mengenai mekanisme eksploitasi bug ini masih terbatas dalam data publik. Informasi yang tersedia hanya menyebutkan bahwa kerentanan tersebut dapat menyebabkan kondisi di mana Microsoft Defender berhenti bekerja atau tidak dapat menjalankan fungsinya dengan normal.

Efek DoS pada perangkat keamanan seperti Defender dapat menjadi sangat berbahaya, karena:

• perlindungan real‑time dapat terhenti
• malware tidak lagi terdeteksi
• sistem menjadi lebih mudah disusupi serangan lanjutan

Hingga publikasi data yang tersedia saat ini, NVD (National Vulnerability Database) belum merilis penilaian CVSS resmi untuk CVE‑2026‑45498.

Ringkasan CVE‑2026‑45498:

• Jenis kerentanan: Denial of Service
• Dampak: Defender dapat berhenti berfungsi atau terganggu
• Status: Aktif dieksploitasi
• Skor CVSS NVD: Belum tersedia pada saat data dipublikasikan

Mengapa Masuknya ke KEV Catalog Penting

CISA memelihara Known Exploited Vulnerabilities Catalog sebagai referensi kerentanan yang telah terbukti digunakan dalam serangan nyata. Penambahan ke daftar ini biasanya memicu respons cepat dari organisasi keamanan dan tim IT.

Pada pembaruan 20 Mei 2026, CISA menambahkan tujuh kerentanan sekaligus ke katalog tersebut—termasuk dua bug baru di Microsoft Defender ini—setelah ditemukan bukti eksploitasi aktif.

Untuk lembaga pemerintah federal AS, aturan Binding Operational Directive (BOD) 22‑01 mewajibkan:

• penerapan patch atau mitigasi dari vendor
• pengurangan paparan sistem terhadap kerentanan
• atau penghentian penggunaan produk jika mitigasi tidak tersedia

Dalam kasus CVE‑2026‑45498, CISA menetapkan deadline mitigasi 3 Juni 2026 bagi instansi federal.

Apa yang Perlu Dilakukan Organisasi

Administrator sistem dan tim keamanan disarankan untuk:

• memastikan Microsoft Defender dan komponen Malware Protection Engine diperbarui
• mengikuti panduan patch atau mitigasi resmi dari Microsoft
• memprioritaskan pembaruan pada endpoint yang berfungsi sebagai sistem keamanan atau respons insiden

Karena kedua kerentanan ini sudah dieksploitasi secara aktif, penundaan pembaruan dapat meningkatkan risiko kompromi sistem Windows di lingkungan perusahaan maupun pemerintah.

Secara umum, kasus ini menunjukkan pola yang sering terjadi dalam keamanan siber: bahkan perangkat lunak keamanan seperti antivirus dapat menjadi target eksploitasi jika terdapat kelemahan dalam komponen internalnya.