Microsoft June 2026 Patch Tuesday memperbaiki 3 zero-day, 200 kelemahan

Hari ini adalah Patch Selasa Microsoft bulan Juni 2026, dengan pembaruan keamanan untuk 200 kelemahan dan tiga kerentanan zero-day yang diungkapkan secara publik.

Patch Tuesday ini mengatasi 33 kerentanan “Kritis”, 28 di antaranya adalah eksekusi kode jarak jauh, 4 adalah peningkatan hak istimewa, dan 1 adalah kelemahan pengungkapan informasi.

Saat BleepingComputer melaporkan pembaruan keamanan Patch Tuesday, kami hanya menghitung pembaruan yang dirilis oleh Microsoft hari ini.

Oleh karena itu, jumlah kelemahan tersebut tidak termasuk kelemahan pada Mariner, Azure HorizonDB, Microsoft Copilot, Copilot Chat, M365 Copilot, Microsoft Exchange Online, dan Microsoft Graph yang diperbaiki oleh Microsoft awal bulan ini.

Ada juga kelemahan besar Microsoft Edge/Chromium 360 yang diperbaiki oleh Google bulan ini, yang dikecualikan dari kumpulan Patch Tuesday ini.

Patch Tuesday bulan ini memperbaiki tiga kerentanan zero-day yang diungkapkan secara publik, tidak ada satupun yang diketahui telah dieksploitasi dalam serangan.

Microsoft mengklasifikasikan cacat zero-day seperti yang diungkapkan secara publik atau dieksploitasi secara aktif sementara tidak ada perbaikan resmi yang tersedia.

Microsoft telah menambal kerentanan Windows CTFMON yang diungkapkan secara publik yang memberikan hak istimewa SISTEM.

“Resolusi tautan yang tidak tepat sebelum akses file (‘tautan berikut’) di Windows Collaborative Translation Framework memungkinkan penyerang resmi untuk meningkatkan hak istimewa secara lokal,” jelas Microsoft.

Microsoft telah mengaitkan kelemahan tersebut dengan seorang peneliti anonim, namun belum membagikan rincian apa pun tentang cara pengungkapannya.

Microsoft telah menambal kelemahan layanan penolakan HTTP/2 yang diungkapkan secara publik yang disebut “Bom HTTP/2” yang diungkapkan bulan ini oleh para peneliti di perusahaan keamanan ofensif California.

“Konsumsi sumber daya yang tidak terkontrol di HTTP/2 memungkinkan penyerang yang tidak sah menolak layanan melalui jaringan,” jelas Microsoft.

Serangan Bom HTTP/2 adalah teknik penolakan layanan yang menyalahgunakan cara protokol HTTP/2 mengompresi dan mengelola header lalu lintas web, sehingga memungkinkan penyerang mengirim data dalam jumlah sangat kecil yang memaksa server mengalokasikan memori dalam jumlah besar secara tidak proporsional.

Para peneliti menemukan serangan itu dapat meningkatkan penggunaan memori secara signifikan pada server yang terkena dampak. Penyerang juga dapat menjaga memori tetap terikat dengan memanipulasi pengaturan kontrol aliran, mencegah server mengosongkan sumber daya dan berpotensi menyebabkan masalah kinerja atau gangguan.

Untuk membantu mengurangi serangan ini, Microsoft telah memperkenalkan pengaturan registri “MaxHeadersCount” baru untuk membatasi jumlah header dalam permintaan, bersama dengan buletin dukungan tentang cara menggunakannya.

“Microsoft juga memperkenalkan pengaturan registri MaxHeadersCount baru. Pengaturan ini memungkinkan Anda membatasi jumlah header yang disertakan dalam permintaan HTTP/2 dan HTTP/3 yang diterima oleh server HTTP. Untuk informasi selengkapnya, lihat KB5102602,” lanjut Microsoft.

Cacat ini disebabkan oleh Quang Luong dan Codex of Calif.io.

Microsoft telah menambal kelemahan bypass Windows BitLocker yang diungkapkan secara publik yang memungkinkan penyerang lokal mendapatkan akses ke drive terenkripsi.

“Kegagalan mekanisme perlindungan di Windows BitLocker memungkinkan penyerang tidak sah melewati fitur keamanan dengan serangan fisik,” jelas Microsoft.

Meskipun Microsoft mengaitkan kelemahan tersebut dengan peneliti anonim, BleepingComputer telah mengetahui bahwa ini adalah perbaikan untuk masalah tersebut Kerentanan YellowKey yang diungkapkan secara publik bulan lalu oleh peneliti keamanan siber bernama Nightmare Eclipse.

Kerentanan YellowKey dapat dieksploitasi dengan menempatkan file yang dibuat khusus pada drive USB atau partisi EFI dan melakukan booting ke Lingkungan Pemulihan Windows (WinRE), di mana menahan tombol CTRL akan memicu shell perintah dengan akses tidak terbatas ke drive terenkripsi yang dilindungi BitLocker.

Cacat ini terutama memengaruhi sistem yang menggunakan perlindungan BitLocker khusus TPM pada perangkat Windows 11 dan Windows Server 2022/2025. Microsoft sebelumnya membagikan mitigasi sementara untuk masalah ini, termasuk mengaktifkan autentikasi TPM+PIN alih-alih hanya mengandalkan perlindungan TPM.

Nightmare Eclipse telah merilis gelombang kerentanan zero-day Windows, termasuk Palu Biru, MiniPlasma, Matahari MerahDan Batalkan pertahanansebagai protes atas penanganan Microsoft terhadap program bug bounty dan pengungkapan kerentanannya.

Di bawah ini adalah daftar lengkap kerentanan yang teratasi pada pembaruan Patch Selasa Mei 2026, tidak termasuk kelemahan yang diperbaiki sebelum hari ini.

Untuk mengakses deskripsi lengkap setiap kerentanan dan sistem yang dipengaruhinya, Anda dapat melihat laporan lengkap di sini.