Microsoft Agustus 2026 Patch Tuesday: LegacyHive, ShieldBreak, dan Eskalasi 'Nightmare Eclipse'

Microsoft merilis Patch Tuesday Agustus 2026 pada 11 Agustus, memperbaiki sekitar 400 kerentanan—perkiraan dari firma keamanan besar berkisar antara 398 hingga 421 CVE . Rilis ini mencakup satu zero-day yang sudah dieksploitasi, dua zero-day yang diungkap publik, dan sekitar 62 kerentanan dengan tingkat keparahan kritis . Namun, dalam hitungan jam setelah patch dirilis, peneliti yang dikenal sebagai Nightmare Eclipse merilis exploit baru bernama ShieldBreak yang mengklaim bisa menembus patch Microsoft dari bulan sebelumnya .

Skala Patch Agustus 2026

Microsoft memperbaiki antara 398 hingga 421 kerentanan di berbagai produk seperti Windows, Office, Azure, Exchange, SharePoint, dan lainnya . Jumlah pasti CVE bervariasi:

• SANS ISC: 418 CVE, 62 kritis
• Tenable: 398 CVE, 42 kritis
• CrowdStrike: 415 CVE, 62 kritis
• Splashtop: 421 CVE
• BleepingComputer: ~400 celah, 3 zero-day

Semua sumber utama setuju bahwa totalnya "sekitar 400" kerentanan .

Zero-Day yang Dieksploitasi: CVE-2026-68820

Satu-satunya zero-day yang dikonfirmasi Microsoft telah dieksploitasi di alam liar adalah CVE-2026-68820, kerentanan peningkatan hak akses (privilege escalation) di Windows Ancillary Function Driver for WinSock (afd.sys) . Automox mendeskripsikannya sebagai "driver di balik koneksi socket Windows yang ada di hampir semua perangkat" . Kerentanan ini memungkinkan penyerang yang sudah memiliki akses lokal untuk mendapatkan akses level SYSTEM pada sistem yang terkena .

LegacyHive (CVE-2026-62832): Celah Publik di Windows User Profile Service

CVE-2026-62832, yang dijuluki "LegacyHive," adalah kerentanan peningkatan hak akses (elevation of privilege) di Windows User Profile Service. Kerentanan ini muncul karena penyelesaian tautan yang tidak tepat sebelum akses file (CWE-59) . Microsoft memberinya peringkat Penting (Important) dengan skor CVSS 7.8, dan menilai eksploitasi sebagai "Kemungkinan Besar Terjadi" (More Likely) .

Cara Kerja LegacyHive

Penyerang terautentikasi yang memiliki kredensial akun lokal kedua dapat menjalankan aplikasi yang dibuat khusus untuk memuat registry hive pengguna lain, yang berpotensi mengarah pada hak akses administrator . Kerentanan ini mempengaruhi Windows 10, Windows 11, dan Windows Server 2022/2025 sebelum build yang ditambal .

ShieldBreak: Exploit yang Mengklaim Bisa Menembus Patch Microsoft

Pada 12 Agustus 2026—sehari setelah Patch Tuesday—peneliti Nightmare Eclipse (juga dikenal sebagai Chaotic Eclipse) menerbitkan exploit proof-of-concept bernama ShieldBreak . Menurut peneliti tersebut, ShieldBreak adalah penerobosan total terhadap patch Juli 2026 untuk CVE-2026-50656 ("RoguePlanet"), sebuah kerentanan race condition untuk eskalasi hak akses di Microsoft Defender Malware Protection Engine (mpengine.dll) .

Apa yang Dilakukan ShieldBreak?

ShieldBreak dilaporkan memberikan hak akses NT AUTHORITY\SYSTEM pada sistem Windows 10, Windows 11, dan Windows Server yang sudah sepenuhnya di-patch . Exploit ini menggunakan jalur serangan yang berbeda dari pendahulunya: sementara RoguePlanet mengeksploitasi race condition di sistem file yang melibatkan virtual disk, ShieldBreak mengambil alih callback mode pengguna untuk mengubah konten file selama pemindaian cloud-hydration Defender melalui Windows Cloud Filter API (cfapi) . Peneliti tersebut menyatakan proof-of-concept ini mencapai "tingkat keberhasilan 100%" pada Windows 11 25H2 dan Windows Server 2025 .

Status Terkini

Beberapa analis mencatat bahwa Microsoft mungkin telah diam-diam menambal vektor penerobosan ini . Namun, pada saat ShieldBreak dipublikasikan, belum ada perbaikan resmi dari Microsoft untuk menutup celah ini . Peneliti independen, termasuk Howler Cell, mengonfirmasi keberhasilan reproduksi pada host Windows 11 Pro yang telah di-patch penuh .

Eskalasi yang Lebih Luas: Nightmare Eclipse vs. Microsoft

Rilis ShieldBreak adalah bab terbaru dalam perselisihan yang semakin memanas antara Microsoft dan peneliti anonim Nightmare Eclipse.

Sembilan Zero-Day Sejak April 2026

Sejak April 2026, Nightmare Eclipse telah merilis sembilan exploit zero-day secara publik, termasuk celah-celah sebelumnya bernama RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma, dan MiniPlasma . Tiga di antaranya—BlueHammer, RedSun, dan UnDefend—telah dikonfirmasi dieksploitasi di alam liar dan ditambahkan ke katalog CISA Known Exploited Vulnerabilities (KEV) .

Ancaman Hukum Microsoft dan Reaksi Balik

Pada 27 Mei 2026, Microsoft Security Response Center (MSRC) menerbitkan sebuah postingan yang mengancam tuntutan pidana terhadap peneliti tersebut . Microsoft juga menonaktifkan akun peneliti di GitHub (dimiliki Microsoft) dan GitLab . Langkah ini memicu reaksi balik besar-besaran dari komunitas keamanan . Pada 1 Juni 2026, Microsoft mundur sebagian dari ancamannya, secara publik mengklarifikasi bahwa mereka "tidak berniat mengambil tindakan terhadap individu yang melakukan atau mempublikasikan riset keamanan mereka" .

Publikasi Berlanjut Meski Ada Ancaman

Nightmare Eclipse terus mempublikasikan exploit zero-day selama perselisihan ini berlangsung, dengan ShieldBreak hadir segera setelah rilis Patch Tuesday Agustus 2026 . Peneliti tersebut mengklaim bahwa laporan kerentanan sebelumnya melalui saluran resmi Microsoft tidak ditanggapi, yang memotivasi pengungkapan publik .

Rekomendasi untuk Administrator IT

1. Patch CVE-2026-68820 dulu — zero-day driver WinSock sedang dieksploitasi secara aktif di alam liar .
2. Prioritaskan CVE-2026-62832 (LegacyHive) — meski belum dieksploitasi, Microsoft menilai kemungkinan eksploitasi sebagai "More Likely," dan kode PoC sudah tersedia di publik .
3. Situasi ShieldBreak masih berkembang — Microsoft mungkin telah diam-diam menambal vektor penerobosan, tetapi belum ada konfirmasi atau perbaikan resmi yang dirilis . Administrator harus memantau pembaruan untuk Microsoft Defender Malware Protection Engine.
4. Kampanye Nightmare Eclipse masih berlangsung — sembilan zero-day telah dipublikasikan sejak April 2026, dan kemungkinan akan ada lagi .