Microsoft July 2026 Patch Tuesday: 622 Kerentanan Ditambal, Dua Zero-Day Aktif Dieksploitasi — SharePoint dan ADFS dalam Kondisi Darurat

Ringkasan Eksekutif

Patch Tuesday Juli 2026 menandai momen bersejarah — dan mengkhawatirkan — dalam sejarah keamanan Microsoft. Dengan 622 kerentanan yang ditambal dalam satu siklus, ini adalah jumlah tertinggi yang pernah dirilis Microsoft dalam sejarah program Patch Tuesday.

Di antara 622 CVE tersebut, dua di antaranya adalah zero-day yang sedang aktif dieksploitasi di alam liar (in-the-wild):

• CVE-2026-56164 — SharePoint Server Remote Code Execution (CVSS 9.1)
• CVE-2026-56155 — Active Directory Federation Services (ADFS) Elevation of Privilege (CVSS 8.2)

CISA segera menambahkan kedua kerentanan ini ke dalam Known Exploited Vulnerabilities (KEV) Catalog dengan deadline remediasi 21 Juli 2026 untuk SharePoint dan 28 Juli 2026 untuk ADFS — memberikan organisasi hanya beberapa hari untuk melakukan patching.

Rekor Baru: 622 Kerentanan dalam Satu Siklus Patch

PERBANDINGAN

Bulan/Tahun	Jumlah CVE	Zero-Day	Critical
Januari 2025	159	3	12
Februari 2025	56	2	5
Maret 2025	57	1	6
April 2025	151	2	11
Mei 2025	112	2	9
Juni 2025	205	1	14
Juli 2025	142	3	13
Agustus 2025	89	0	8
September 2025	79	4	7
Oktober 2025	121	2	10
November 2025	94	1	6
Desember 2025	73	0	9
Januari 2026	167	3	14
Februari 2026	63	1	5
Maret 2026	108	2	8
April 2026	131	3	10
Mei 2026	187	2	12
Juni 2026	292	2	18
>>> Juli 2026 <<<	622	2	29
Tren: Peningkatan signifikan sejak Maret 2026
Juli 2026: +113% dibanding bulan sebelumnya (292 -> 622)

Angka 622 bukan hanya rekor — ini adalah lonjakan yang belum pernah terjadi sebelumnya. Beberapa faktor yang berkontribusi:

1. Ekspansi cakupan produk — Microsoft terus menambah produk baru ke dalam program patch (Azure, Dynamics, Power Platform)
2. Peningkatan kemampuan deteksi — tools fuzzing dan analisis statis yang lebih baik menemukan lebih banyak bug
3. Kemungkinan backlog — kerentanan yang ditemukan sebelumnya tetapi baru dirilis sekarang
4. Kompleksitas software yang meningkat — lebih banyak kode, lebih banyak permukaan serangan

Zero-Day Prioritas Darurat

ZERO-DAY JULI 2026 — PRIORITAS DARURAT

ZERO-DAY

CVE-2026-56164 (SharePoint RCE)

• CVSS: 9.1 (Critical)
• Status: DIEKSPLOITASI AKTIF DI ALAM LIAR
• CISA KEV Deadline: 21 Juli 2026
• Attack Vector: Network (tanpa autentikasi)
• Dampak: Remote Code Execution
• Target: SharePoint Server 2016, 2019, Subscription Edition CVE-2026-56155 (ADFS EoP)
• CVSS: 8.2 (High)
• Status: DIEKSPLOITASI AKTIF DI ALAM LIAR
• CISA KEV Deadline: 28 Juli 2026
• Attack Vector: Network
• Dampak: Elevation of Privilege ke SYSTEM
• Target: Windows Server dengan ADFS role enabled

CVE-2026-56164: SharePoint Server Remote Code Execution

Detail Teknis

CVE-2026-56164 adalah kerentanan Remote Code Execution (RCE) pada Microsoft SharePoint Server. Kerentanan ini memungkinkan attacker yang tidak terautentikasi untuk mengeksekusi kode arbitrer pada server SharePoint melalui request jaringan yang dikonstruksi secara khusus.

CVE-2026-56164 — PROFIL KERENTANAN

CVE-2026-56164

CVE ID : CVE-2026-56164 CVSS v3.1 Score : 9.1 (CRITICAL) Attack Vector : Network Attack Complexity : Low Privileges Req. : None (tanpa autentikasi) User Interaction : None Scope : Changed Confidentiality : High Integrity : High Availability : High Versi Terdampak:

• SharePoint Server 2016
• SharePoint Server 2019
• SharePoint Server Subscription Edition Versi TIDAK Terdampak:
• SharePoint Online (sudah dipatch oleh Microsoft)

Vektor Serangan

# SKENARIO EKSPLOITASI CVE-2026-56164

[LANGKAH 1] Identifikasi Target
    Attacker memindai internet untuk SharePoint Server yang:
    - Memiliki web application exposed ke internet
    - Menjalankan versi rentan (belum di-patch)
    - Merespons dengan header SharePoint characteristic

[LANGKAH 2] Eksploitasi
    # Request HTTP yang dikonstruksi khusus
    # Tidak memerlukan kredensial — unauthenticated
    POST /_api/web/ProcessQuery HTTP/1.1
    Host: sharepoint.target.com
    Content-Type: application/x-www-form-urlencoded
    # Payload disisipkan dalam parameter yang tidak divalidasi

[LANGKAH 3] Remote Code Execution
    # Kode arbitrer dieksekusi dalam konteks:
    - IIS Application Pool identity
    - Atau: NETWORK SERVICE / w3wp.exe
    # Attacker mendapatkan shell atau implant persistence

[LANGKAH 4] Post-Exploitation
    # Dari SharePoint, attacker dapat:
    - Mengakses SQL Server backend (database SharePoint)
    - Lateral movement ke domain controller
    - Eksfiltrasi dokumen dan data SharePoint
    - Ransomware deployment ke seluruh environment

Mengapa SharePoint Menjadi Target Bernilai Tinggi

SharePoint adalah salah satu aplikasi enterprise Microsoft yang paling banyak digunakan. Ia menyimpan dokumen rahasia, kontrak, data keuangan, informasi karyawan, dan komunikasi internal. Sekali attacker mendapatkan akses ke SharePoint, mereka tidak hanya mendapatkan file — mereka mendapatkan seluruh basis pengetahuan organisasi.

Selain itu, SharePoint Server seringkali memiliki koneksi langsung ke Active Directory dan SQL Server, menjadikannya titik awal yang ideal untuk lateral movement ke seluruh infrastruktur enterprise.

CVE-2026-56155: Active Directory Federation Services Elevation of Privilege

Detail Teknis

CVE-2026-56155 adalah kerentanan Elevation of Privilege pada Active Directory Federation Services (ADFS). Kerentanan ini memungkinkan attacker yang telah memiliki akses terbatas ke server untuk meningkatkan hak akses mereka menjadi SYSTEM — tingkat akses tertinggi di Windows.

CVE-2026-56155 — PROFIL KERENTANAN

CVE-2026-56155

CVE ID : CVE-2026-56155 CVSS v3.1 Score : 8.2 (HIGH) Attack Vector : Network Attack Complexity : Low Privileges Req. : Low (perlu akses awal) User Interaction : None Scope : Changed Confidentiality : High Integrity : High Availability : High Versi Terdampak:

• Windows Server dengan ADFS role enabled (Semua versi Windows Server yang mendukung ADFS)

Skenario Eksploitasi

Meskipun CVE-2026-56155 memerlukan akses awal (low privileges), kerentanan ini sangat berbahaya karena:

1. ADFS adalah komponen kritis dalam arsitektur identitas enterprise — digunakan untuk federasi identitas, SSO, dan integrasi dengan Microsoft 365
2. EoP ke SYSTEM berarti attacker dapat mengambil alih seluruh server, termasuk semua akun pengguna dan secrets yang tersimpan
3. Token signing certificates yang tersimpan di ADFS dapat dicuri, memungkinkan attacker untuk membuat token SAML palsu dan melakukan impersonasi ke aplikasi apa pun yang terfederasi

DAMPAK CVE-2026-56155 — RANTAI KOMPROMI

DAMPAK

• [Initial Access] Akses low-privilege ke ADFS server (via phishing, credential theft, atau kerentanan lain) | v
• [CVE-2026-56155 Exploitation] Elevation of Privilege ke SYSTEM | v
• [Token Signing Certificate Theft] Curi ADFS token signing certificate | v
• [Golden SAML Attack] Buat SAML token untuk user apa pun Impersonasi CEO, Domain Admin, Cloud Admin | v
• [Full Compromise] Akses ke seluruh aplikasi terfederasi Microsoft 365, Azure, Salesforce, SaaS apps

Kerentanan Kritis Lainnya

Dari 622 CVE, 29 di antaranya memiliki rating Critical (CVSS >= 9.0). Berikut adalah yang paling signifikan selain dua zero-day di atas:

CVE ID	Produk	Dampak	CVSS
CVE-2026-56166	Windows TCP/IP Stack	Remote Code Execution	9.8
CVE-2026-56172	Microsoft Exchange Server	Remote Code Execution	9.8
CVE-2026-56181	Windows DNS Server	Remote Code Execution	9.8
CVE-2026-56190	Hyper-V	Host Escape / RCE	9.3
CVE-2026-56202	Azure Arc	Elevation of Privilege	9.1
CVE-2026-56215	Windows Remote Desktop Services	Remote Code Execution	9.8
CVE-2026-56233	Microsoft Office	Remote Code Execution	9.6
CVE-2026-56241	Windows Kerberos	Elevation of Privilege	9.0

Windows TCP/IP Stack (CVE-2026-56166)

Kerentanan RCE di stack TCP/IP Windows dengan CVSS 9.8 — dieksploitasi melalui packet jaringan yang dikonstruksi khusus. Tidak memerlukan autentikasi. Attacker cukup mengirimkan packet ke sistem yang rentan. Dengan exploitability rendah dan dampak tinggi, kerentanan ini sangat mungkin di-weaponized dalam waktu dekat.

Microsoft Exchange Server (CVE-2026-56172)

Exchange Server kembali menjadi sasaran. CVE-2026-56172 memungkinkan RCE tanpa autentikasi dengan CVSS 9.8. Exchange adalah target bernilai tinggi karena menyimpan email seluruh organisasi dan sering terhubung ke Active Directory.

Distribusi Kerentanan Berdasarkan Kategori

DISTRIBUSI 622 CVE BERDASARKAN KATEGORI

DISTRIBUSI

Elevation of Privilege : 228 (36.7%) Remote Code Execution : 182 (29.3%) Information Disclosure : 91 (14.6%) Denial of Service : 58 (9.3%) Spoofing : 35 (5.6%) Security Feature Bypass : 28 (4.5%) PRODUK DENGAN CVE TERBANYAK:

• Windows OS & Components : 187 CVE
• Microsoft Edge (Chromium) : 45 CVE
• Microsoft Office : 38 CVE
• Azure Services : 34 CVE
• SQL Server : 29 CVE
• Exchange Server : 28 CVE
• SharePoint : 22 CVE
• Dynamics 365 : 18 CVE
• .NET / Visual Studio : 15 CVE
• Lainnya : 206 CVE

Dampak pada Organisasi

Organisasi Paling Berisiko

PROFIL ORGANISASI BERISIKO TINGGI

PROFIL

1. ON-PREMISES SHAREPOINT

• Tidak bisa auto-patch (vs SharePoint Online)
• Seringkali mission-critical — downtime tidak diterima
• Patch window terbatas — akhir pekan atau maintenance
• Jika exposed ke internet: risiko KRITIS

2. ORGANISASI DENGAN ADFS

• ADFS adalah fondasi identitas enterprise-wide
• Kompromi ADFS = kompromi seluruh sistem identitas
• Token signing certificate theft = Golden SAML
• Recovery sangat kompleks dan memakan waktu

3. ENTERPRISE DENGAN BANYAK WINDOWS SERVER

• 187 CVE di Windows OS — perlu patch ke seluruh fleet
• Exchange, SQL Server, DNS Server juga terdampak
• Koordinasi patch 622 CVE di ribuan server
• Risiko: missed patch, testing tidak memadai

Beban Kerja Tim IT

Dengan 622 CVE dalam satu siklus, tim IT dan keamanan menghadapi beban yang belum pernah terjadi sebelumnya:

• Testing — setiap patch harus diuji di environment staging untuk memastikan tidak ada regresi
• Prioritisasi — tidak semua CVE bisa dipatch sekaligus; harus diprioritaskan berdasarkan exploitability dan dampak
• Deployment — 622 patch harus didistribusikan ke seluruh fleet server, workstation, dan perangkat
• Verifikasi — setelah patching, harus diverifikasi bahwa patch benar-benar terpasang

Rekomendasi Remediasi dan Timeline

Prioritas Darurat (24-72 Jam Pertama)

PRIORITAS DARURAT — 24-72 JAM

PRIORITAS

• [PRIORITAS 1] — Deadline CISA KEV
• CVE-2026-56164 (SharePoint RCE) — patch sebelum 21 Juli
• CVE-2026-56155 (ADFS EoP) — patch sebelum 28 Juli
• Jika tidak bisa patch: mitigasi alternatif, segmentasi
• [PRIORITAS 2] — Critical RCE (CVSS 9.0+)
• CVE-2026-56166 (TCP/IP Stack)
• CVE-2026-56172 (Exchange Server)
• CVE-2026-56181 (DNS Server)
• CVE-2026-56215 (Remote Desktop Services)
• [PRIORITAS 3] — Internet-Facing Systems
• SharePoint yang exposed ke internet
• Exchange yang exposed ke internet
• RDS/VDI yang exposed ke internet
• ADFS proxies yang exposed ke internet

Mitigasi Alternatif

Jika patch tidak dapat segera diinstal:

# MITIGASI ALTERNATIF UNTUK SHAREPOINT
sharepoint_mitigation:
  - restrict_network_access:
      - Batasi akses ke SharePoint hanya dari trusted IP/internal
      - Gunakan VPN untuk akses remote ke SharePoint
  - enable_waf_rules:
      - Deploy WAF rules untuk memblokir pattern eksploitasi
      - Monitor untuk request mencurigakan
  - monitoring:
      - Aktifkan enhanced logging untuk SharePoint
      - Monitor event log untuk indikasi eksploitasi
      - Alert untuk proses mencurigakan (w3wp.exe spawn cmd.exe)

# MITIGASI ALTERNATIF UNTUK ADFS
adfs_mitigation:
  - restrict_access:
      - Batasi akses ke ADFS server hanya dari domain controllers
      - Jangan expose ADFS management endpoint ke internet
  - monitor_privilege_escalation:
      - Alert untuk perubahan privilege yang tidak sah
      - Monitor token signing certificate access
  - conditional_access:
      - Terapkan conditional access policies yang ketat
      - Monitor untuk SAML token anomalies

Perencanaan Jangka Panjang

STRATEGI PATCHING JANGKA PANJANG

STRATEGI

1. AUTOMATED PATCHING

• Gunakan Microsoft Endpoint Manager / SCCM
• Pilot ring: 5% fleet (hari 1)
• Broad ring: 90% fleet (hari 3-5)
• Catch-up ring: remaining 5% (hari 7)

2. VULNERABILITY PRIORITIZATION

• EPSS (Exploit Prediction Scoring System)
• CISA KEV Catalog (mandatory, dengan deadline)
• Internet-facing assets first
• Crown jewel systems last (setelah di-testing)

3. MIGRASI KE CLOUD

• SharePoint Online (auto-patched oleh Microsoft)
• Entra ID (menggantikan ADFS on-premises)
• Azure Virtual Desktop (managed RDS)

Tantangan dalam Patching Skala Besar

622 kerentanan dalam satu siklus patch menimbulkan tantangan operasional yang signifikan:

1. Testing bottleneck — Setiap patch harus diuji untuk memastikan kompatibilitas dengan aplikasi bisnis kritis. Dengan 622 CVE, tim QA menghadapi antrian yang tidak realistis.

2. Reboot requirement — Mayoritas patch Windows memerlukan reboot. Untuk organisasi dengan ribuan server, koordinasi reboot adalah tantangan logistik tersendiri — terutama untuk sistem yang harus online 24/7 (rumah sakit, manufaktur, infrastruktur kritis).

3. Patch fatigue — Administrator sistem dapat mengalami “patch fatigue” dan mulai mengabaikan atau menunda patch yang tampaknya kurang penting — padahal di antara 622 CVE, ada kemungkinan yang terlewat adalah yang paling dieksploitasi.

4. Legacy systems — Banyak organisasi masih menjalankan versi lama (SharePoint 2013, Windows Server 2012 R2) yang mungkin tidak menerima patch untuk semua kerentanan.

Kesimpulan

Patch Tuesday Juli 2026 dengan 622 CVE adalah panggilan untuk bangun bagi setiap organisasi yang menjalankan infrastruktur Microsoft. Angka ini bukan sekadar statistik — ini mencerminkan permukaan serangan yang terus berkembang, kemampuan deteksi yang meningkat, dan realitas bahwa ekosistem Microsoft adalah target utama bagi threat actor di seluruh dunia.

Dua zero-day yang aktif dieksploitasi — SharePoint dan ADFS — harus menjadi prioritas mutlak. Deadline CISA KEV (21 dan 28 Juli) memberikan waktu yang sangat terbatas. Organisasi yang belum memulai proses patching untuk kedua kerentanan ini harus segera bertindak. Tidak ada alasan untuk menunda.

Lebih dari sekadar patching, organisasi perlu memikirkan ulang strategi keamanan mereka. Tren peningkatan CVE yang konsisten menunjukkan bahwa model “patch every month” mungkin tidak lagi berkelanjutan. Migrasi ke layanan cloud yang di-manage (SharePoint Online, Entra ID), otomatisasi patching yang agresif, dan arsitektur zero-trust yang tidak bergantung pada perimeter security adalah langkah-langkah yang perlu dipertimbangkan.

622 kerentanan bukan akhir dari segalanya — tapi ini adalah tes stres. Organisasi yang mampu merespons dengan cepat dan terstruktur akan membuktikan maturity program keamanan mereka. Mereka yang gagal akan menjadi target berikutnya bagi threat actor yang sudah menunggu.

Artikel ini disusun berdasarkan Microsoft Security Response Center (MSRC) July 2026 Security Updates, CISA Known Exploited Vulnerabilities Catalog update 17 Juli 2026, serta analisis dari tim Threat Intelligence Seraphim News.