KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengoperasikan Microsoft SharePoint Server versi lokal (on-premises) untuk segera memasang pembaruan keamanan atas CVE-2026-65660, kerentanan code injection (penyisipan kode) berskor CVSS 8,8 (High). Kerentanan ini dimasukkan ke katalog Known Exploited Vulnerabilities (KEV) CISA pada 25 September 2026, dan Microsoft menyatakan memiliki bukti andal adanya serangan yang memanfaatkannya.
Ikhtisar
CVE-2026-65660 adalah kerentanan Improper Control of Generation of Code (CWE-94) pada Microsoft SharePoint dengan vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Penyerang yang sudah memiliki akun dengan hak akses rendah di SharePoint dapat mengirim permintaan yang dirancang khusus lewat jaringan untuk menjalankan kode di server, tanpa memerlukan interaksi pengguna lain.
Microsoft merilis perbaikannya pada pembaruan 11 Agustus 2026. Pada 25 September 2026 Microsoft memperbarui keterangan kerentanan ini dengan menyatakan telah ada bukti serangan yang teramati. Server yang belum menerima pembaruan Agustus 2026 atau sesudahnya karenanya tidak boleh lagi dianggap berisiko rendah.
Dampak
- Eksekusi kode dari jarak jauh pada server SharePoint, dengan dampak penuh terhadap kerahasiaan, integritas, dan ketersediaan (
C:H/I:H/A:H). - Dokumen, arsip, dan data portal intranet yang tersimpan di SharePoint dapat dibaca, diubah, atau dihapus.
- Server yang terkompromi dapat dijadikan pijakan untuk bergerak ke sistem lain di jaringan, karena SharePoint umumnya terhubung ke direktori pengguna dan layanan lain.
- Syarat akun memang membatasi penyerang tanpa akun, tetapi akun berhak rendah mudah diperoleh melalui pencurian kredensial atau akun yang kata sandinya lemah.
Sistem yang Terdampak
| Produk | Versi Terdampak | Versi Perbaikan |
|---|---|---|
| Microsoft SharePoint Server Subscription Edition | Semua build sebelum 16.0.19725.20522 | KB5002893 (build 16.0.19725.20522) atau lebih baru |
| Microsoft SharePoint Server 2019 | Semua build sebelum 16.0.10417.20198 | KB5002894 dan KB5002896 (build 16.0.10417.20198) atau lebih baru |
| Microsoft SharePoint Server 2016 (Enterprise) | Semua build sebelum 16.0.5565.1001 | KB5002905 dan KB5002906 (build 16.0.5565.1001) atau lebih baru |
Microsoft menegaskan bahwa bila tersedia beberapa paket pembaruan untuk satu produk, seluruh paket yang ditawarkan harus dipasang. Nomor KB yang sama berlaku untuk SharePoint Server 2016 dan SharePoint Enterprise Server 2016. SharePoint Online (Microsoft 365) dikelola oleh Microsoft dan tidak tercantum dalam tabel pembaruan.
Detail Teknis
Pada kerentanan jenis CWE-94, data yang dikirim pengguna ikut dibentuk menjadi kode yang kemudian dijalankan aplikasi tanpa penyaringan yang cukup. Pada SharePoint, penyerang berhak akses rendah dapat memanfaatkannya melalui permintaan jaringan yang dirancang khusus sehingga kode berjalan dalam konteks proses server. Microsoft menilai kemungkinan eksploitasi pada saat perilisan sebagai Exploitation Less Likely, tetapi penilaian itu telah didahului oleh pengamatan serangan nyata. Rincian teknis lebih dalam tidak dimuat di sini.
Rekomendasi
- Pasang pembaruan keamanan SharePoint sesuai tabel (build perbaikan atau yang lebih baru) pada seluruh server di farm, lalu jalankan SharePoint Products Configuration Wizard bila diperlukan oleh prosedur pembaruan Microsoft.
- Verifikasi nomor build farm melalui Central Administration → Upgrade and Migration → Check product and patch installation status.
- Karena eksploitasi sudah teramati, periksa tanda-tanda penyusupan pada server yang sebelumnya belum ditambal: berkas atau proses yang tidak dikenal di server, perubahan pada direktori aplikasi SharePoint, akun baru atau perubahan hak akses, dan log IIS yang memuat permintaan tidak lazim.
- Tinjau dan rapikan akun pengguna SharePoint: nonaktifkan akun yang tidak lagi dipakai, wajibkan kata sandi kuat dan autentikasi multifaktor bila memungkinkan.
- Batasi akses ke SharePoint dari internet; layanan yang hanya dipakai di jaringan kantor sebaiknya tidak dipublikasikan ke luar.
- Bila ditemukan indikasi kompromi, isolasi server, simpan log dan salinan berkas untuk analisis, dan ganti kredensial akun layanan yang terkait.
- Laporkan indikasi penyusupan melalui kanal pelaporan resmi atau ke csirt@kutaitimurkab.go.id.
Catatan Status Eksploitasi
CVE-2026-65660 tercatat di katalog KEV CISA sejak 25 September 2026. Pada hari yang sama Microsoft menambahkan keterangan bahwa pihaknya memiliki bukti andal adanya serangan yang memanfaatkan kerentanan ini. Eksploitasinya dengan demikian sudah teramati di dunia nyata. Pada saat perilisan 11 Agustus 2026, Microsoft menandainya sebagai belum dieksploitasi dan belum diungkap ke publik; status itu sudah tidak berlaku.