-------------

Laporan Riset Security System Global — 11 September 2026, 07.00 WIB

Cakupan: sumber publik hingga 11 September 2026. Laporan ini memprioritaskan perkembangan yang muncul setelah laporan sebelumnya, terutama Microsoft September Security Updates dan kampanye phishing berbasis kompromi penyedia email.

1) Ringkasan eksekutif

1. Microsoft merilis 974 CVE pada 10 September 2026, termasuk dua kerentanan Windows yang ditandai “Exploitation Detected”: CVE-2026-85880 dan CVE-2026-81963. Keduanya memungkinkan eskalasi hak istimewa lokal dan harus diprioritaskan pada endpoint serta server Windows. Microsoft MSRC, 10 Sep 2026 ↗

2. CISA menambahkan empat kerentanan ke KEV pada 9 September, termasuk Fortinet, Citrix NetScaler, Google Chromium, dan Cisco Firewall Management Center, berdasarkan bukti eksploitasi aktif. Perangkat perimeter, VPN, firewall-management, dan browser menjadi prioritas tinggi. CISA, 9 Sep 2026 ↗

3. Chrome/Chromium CVE-2026-87491 adalah out-of-bounds write pada V8 yang dapat berujung eksekusi kode melalui halaman HTML berbahaya. CISA mencatatnya sebagai KEV; Google menyediakan perbaikan pada Chrome 153.0.8010.36. NVD ↗; Chrome Releases, 8 Sep 2026 ↗

4. Kampanye phishing pada 9 September menyalahgunakan infrastruktur newsletter pihak ketiga untuk mengirim peringatan keamanan palsu yang mengatasnamakan Trezor dan perusahaan kripto lain. Ini menunjukkan risiko besar pada rantai pasok SaaS/email marketing, bahkan ketika SPF, DKIM, dan DMARC penerima lolos. Trezor Forum ↗; Recorded Future News ↗

5. Microsoft juga melaporkan kampanye intrusi yang menyamar sebagai staf IT melalui Microsoft Teams, kemudian mendorong korban memasang RMM dan malware berbasis Node.js. Teknik ini relevan bagi organisasi Indonesia yang memakai Teams, RMM, help desk eksternal, atau dukungan vendor jarak jauh. Microsoft Security Blog, September 2026 ↗

---

2) Kerentanan baru atau aktif dieksploitasi

A. Microsoft September 2026 Security Updates — dirilis 10 September

Microsoft menyatakan pembaruan bulan ini mencakup 974 CVE, termasuk 723 pada keluarga Windows, 111 pada Office, 62 pada SQL Server, 16 pada SharePoint, serta komponen Azure, Exchange, Developer Tools, dan lainnya. Microsoft MSRC, 10 Sep 2026 ↗

#### P0/P1 — dua CVE dengan eksploitasi terdeteksi

| CVE | Komponen | Dampak | Severity | Status |

|---|---|---|---|---|

| CVE-2026-85880 | Windows Advanced Local Procedure Call/ALPC | Heap-based buffer overflow yang memungkinkan attacker terautentikasi menaikkan hak akses secara lokal | CVSS 3.1: 7.8 High | Exploitation Detected |

| CVE-2026-81963 | Windows Update Stack | Improper link resolution/link following yang memungkinkan eskalasi hak akses lokal | CVSS 3.1: 7.8 High | Exploitation Detected |

Sumber Microsoft menandai kedua CVE tersebut sebagai Exploitation Detected. NVD juga mencatat keduanya telah masuk KEV dengan tanggal penambahan 8 September 2026 dan tenggat remediasi CISA 22 September 2026. CVE-2026-85880, NVD ↗; CVE-2026-81963, NVD ↗

Produk yang perlu diperiksa:

Windows 10 versi 1607, 1809, 21H2, dan 22H2.

Windows 11 versi 23H2, 24H2, 25H2, dan 26H1.

Windows Server 2012/2012 R2, 2016, 2019, 2022, dan 2025.

Versi build perbaikan berbeda menurut edisi; gunakan Microsoft Update/WSUS/Intune atau Microsoft Update Catalog, bukan hanya mencocokkan nomor CVE secara manual.

Analisis defensif: karena kedua CVE adalah eskalasi hak akses lokal, eksploitasi kemungkinan besar menjadi tahap lanjutan setelah kompromi awal, misalnya phishing, malware, kredensial curian, atau akses RMM. Endpoint yang terlihat melakukan eksekusi mencurigakan sebelum instalasi patch perlu ditinjau secara forensik; jangan hanya menganggap patch sebagai bukti bahwa sistem belum pernah disusupi.

B. Empat item CISA KEV yang masih sangat relevan

CISA menambahkan item berikut berdasarkan bukti eksploitasi aktif pada 9 September: CISA, 9 Sep 2026 ↗

| CVE | Produk | Dampak utama | Prioritas |

|---|---|---|---|

| CVE-2025-25249 | Fortinet multiple products | Heap-based buffer overflow | P0 jika perangkat internet-facing |

| CVE-2026-19490 | Citrix NetScaler | Authentication bypass melalui alternate path/channel | P0 untuk gateway/VPN yang terekspos |

| CVE-2026-87491 | Google Chromium V8 | Out-of-bounds write melalui crafted HTML; dapat berujung code execution | P1 untuk seluruh endpoint/browser |

| CVE-2026-20079 | Cisco Firewall Management Center | Authentication bypass melalui alternate path/channel | P0 bila antarmuka manajemen dapat diakses dari internet atau segmen luas |

Untuk CVE-2026-20079, Cisco mencantumkan CVSS 10.0 Critical, tidak menyediakan workaround yang memadai, dan menyediakan hotfix untuk beberapa rilis FMC. Cisco juga menyatakan pengelolaan yang terekspos internet meningkatkan risiko serangan. Cisco advisory ↗

Untuk CVE-2026-87491, NVD mencatat:

Chrome sebelum 153.0.8010.36 terdampak.

Serangan memerlukan korban membuka halaman HTML yang dibuat khusus.

CVSS 3.1 dari CISA-ADP: 8.8 High.

CISA memasukkan item ini ke KEV pada 9 September dengan tenggat 23 September 2026. NVD ↗

---

3) Kampanye malware, phishing, identity, dan supply-chain

A. Kompromi penyedia email/newsletter — phishing Trezor dan perusahaan kripto

Pada 9 September, pengguna menerima email berjudul “Critical Security Alert: STM32 Entropy Vulnerability” yang mengatasnamakan Trezor. Trezor menyatakan email tersebut adalah phishing dan meminta pengguna tidak mengeklik tautannya. Diskusi pada forum Trezor menunjukkan sebagian email tampak berasal dari alamat/domain pengiriman yang sah. Trezor Forum ↗

Laporan publik berikutnya menyebut beberapa perusahaan kripto lain, termasuk BitBox dan CoinTracking, menerima kampanye serupa melalui penyedia newsletter yang sama. Brevo kemudian menyatakan bahwa attacker memperoleh akses ke sejumlah akun pelanggan dan menggunakannya untuk mengirim email phishing ke contact base pelanggan. Recorded Future News ↗

TTP MITRE ATT&CK yang relevan:

T1566.002 — Phishing: Spearphishing Link

T1583.001 — Acquire Infrastructure: Domains

T1586.002 — Compromise Accounts: Email Accounts, bila akun penyedia newsletter digunakan secara ilegal

T1071.003 — Application Layer Protocol: Mail Protocols, sebagai media delivery

Indikator yang dapat digunakan secara defensif:

Subjek atau tema “STM32 Entropy Vulnerability”.

Email keamanan mendesak yang meminta update firmware, verifikasi seed, xPub, API key, atau kredensial.

Domain tautan yang berbeda dari domain resmi produsen.

Email yang lolos SPF/DKIM/DMARC tetapi tidak sesuai pola komunikasi resmi — autentikasi email tidak membuktikan isi atau niat pengirim aman.

Jangan memasukkan URL phishing atau seed phrase ke sistem analitik yang tidak terisolasi. Jika pengguna telah memasukkan seed phrase atau kredensial, perlakukan wallet/akun sebagai berpotensi terk kompromi dan ikuti prosedur pemulihan resmi vendor.

B. Penyalahgunaan Microsoft Teams untuk menyamar sebagai IT support

Microsoft melaporkan kampanye intrusi yang menggunakan external collaboration Microsoft Teams untuk menyamar sebagai help desk atau IT support. Setelah memperoleh kepercayaan korban, attacker mendorong sesi remote interaktif, menjalankan PowerShell, memasang MSI, menyiapkan runtime Node.js portable, dan men-deploy implant JavaScript yang menyediakan eksekusi perintah serta persistensi. Microsoft Security Blog, September 2026 ↗

TTP MITRE ATT&CK yang relevan:

T1566 / T1566.002 — Phishing atau malicious link melalui komunikasi kolaborasi

T1219 — Remote Access Software

T1059.001 — PowerShell

T1218 — System Binary Proxy Execution, bila komponen sistem digunakan untuk menjalankan payload

T1105 — Ingress Tool Transfer

T1027 — Obfuscated/Compressed Files

T1053 atau T1547, bila persistensi dibuat melalui scheduled task atau mekanisme startup; validasi harus berdasarkan telemetry lokal

Deteksi yang disarankan:

External Teams user yang meminta akses remote tanpa tiket resmi.

RMM baru yang muncul di endpoint: AnyDesk, ScreenConnect, RustDesk, TeamViewer, NinjaOne, Level.io, atau perangkat lunak serupa.

powershell.exe yang membuat atau menjalankan MSI.

Node.js portable yang dijalankan dari %TEMP%, %APPDATA%, Downloads, atau direktori pengguna.

Sesi Teams dari tenant eksternal yang diikuti perubahan password, consent OAuth, atau login berisiko.

---

4) Dampak untuk lingkungan Indonesia

Server Windows dan endpoint

Risiko utama adalah eskalasi hak akses setelah kompromi awal.

Endpoint yang menjalankan RMM tidak sah dapat menjadi jalur lateral movement ke server, file share, domain controller, atau aplikasi internal.

Patch Windows September perlu diuji dan diterapkan segera; cek juga apakah perangkat lama masih menerima security update.

Linux dan server aplikasi

Laporan hari ini tidak menunjukkan KEV Linux baru yang lebih prioritas daripada item pada laporan sebelumnya.

Tetap periksa host Linux yang menjalankan reverse proxy, VPN, firewall management, CI/CD, AI gateway, dan panel admin; aset tersebut sering menjadi titik masuk sebelum attacker berpindah ke identity infrastructure.

Website/API dan cloud

Batasi antarmuka administrasi FMC, NetScaler, Fortinet, dan panel manajemen lain dari internet publik.

Gunakan VPN/ZTNA dengan MFA phishing-resistant bila tersedia.

Audit akun SaaS pihak ketiga dengan hak mengirim email massal, akses contact list, OAuth consent, dan API token.

Rotasi kredensial atau token jika terdapat bukti akun newsletter, CRM, help desk, atau SaaS marketing disalahgunakan.

Organisasi Indonesia

Teknik impersonasi IT support sangat relevan untuk organisasi yang memiliki:

Dukungan IT outsourced.

Help desk yang berkomunikasi melalui Teams/WhatsApp/Telegram.

Karyawan hybrid atau remote.

Akses vendor ke server melalui RMM.

Pengguna yang terbiasa menerima instruksi “urgent security update”.

Tidak ada sumber yang ditinjau dalam laporan ini yang mengonfirmasi target spesifik di Indonesia.

---

5) Rekomendasi tindakan hari ini

P0 — segera, terutama untuk aset internet-facing

1. Inventarisasi dan patch/mitigasi empat KEV CISA:

Fortinet CVE-2025-25249.

Citrix NetScaler CVE-2026-19490.

Cisco FMC CVE-2026-20079.

Chrome/Chromium CVE-2026-87491.

2. Pastikan interface administrasi perangkat Fortinet, NetScaler, dan FMC tidak terbuka langsung ke internet.

3. Untuk Cisco FMC, terapkan hotfix atau fixed release resmi sesuai versi. Jika ada indikasi kompromi, isolasi manajemen dan hubungi Cisco TAC sebelum hanya melakukan upgrade.

4. Terapkan patch Windows September pada sistem yang memuat CVE-2026-85880 dan CVE-2026-81963; jangan menunggu jadwal patch bulanan berikutnya untuk endpoint berisiko tinggi.

P1 — selesai dalam 24 jam

1. Cari telemetry berikut pada EDR/SIEM:

Eksekusi PowerShell yang diikuti pemasangan MSI.

Node.js portable dari direktori pengguna atau temporary.

RMM baru atau RMM yang berjalan di luar baseline.

Perubahan scheduled task, service, startup entry, dan local administrator membership.

Login Teams eksternal yang diikuti remote-control session.

2. Audit log autentikasi dan administrasi:

Citrix NetScaler dan Fortinet.

Cisco FMC.

Microsoft Entra ID, Teams, Exchange, dan endpoint Windows.

3. Blokir atau karantina email bertema kerentanan hardware/wallet yang meminta:

Seed phrase.

xPub.

API key.

Pemulihan akun melalui tautan.

Instalasi firmware atau aplikasi dari domain yang tidak diverifikasi.

4. Periksa OAuth app consent dan API token baru pada SaaS marketing/newsletter/CRM.

P2 — selesai dalam 48–72 jam

1. Terapkan kebijakan bahwa remote support harus:

Memiliki tiket.

Dilakukan oleh akun vendor yang telah terdaftar.

Menggunakan RMM yang diizinkan organisasi.

Menghasilkan log sesi dan persetujuan pengguna.

2. Nonaktifkan external Teams collaboration yang tidak diperlukan, atau batasi domain yang diizinkan.

3. Uji restore backup dan pastikan backup tidak dapat dihapus menggunakan kredensial administrator harian.

4. Tambahkan simulasi phishing yang menguji penyalahgunaan email dari penyedia pihak ketiga, bukan hanya spoofing domain.

5. Evaluasi vendor SaaS berdasarkan MFA, audit log, segregasi tenant, notifikasi insiden, dan kemampuan mematikan pengiriman massal dengan cepat.

---

6) Hal yang belum pasti

1. CISA mengonfirmasi eksploitasi aktif, tetapi rincian publik mengenai threat actor, exploit chain, target spesifik, dan skala serangan untuk empat CVE KEV baru masih terbatas.

2. Microsoft menandai dua CVE Windows sebagai Exploitation Detected, tetapi tidak menjelaskan secara publik aktor, malware, atau korban spesifik dalam release note yang ditinjau.

3. Pada insiden newsletter, atribusi aktor dan keseluruhan daftar organisasi terdampak belum dipublikasikan secara lengkap.

4. SPF/DKIM/DMARC yang lolos hanya menunjukkan bahwa email dikirim melalui infrastruktur yang diotorisasi; hal itu tidak membuktikan akun penyedia tersebut aman atau isi email sah.

5. TTP MITRE yang dicantumkan untuk kampanye Teams dan newsletter adalah pemetaan defensif berdasarkan perilaku yang dipublikasikan; bukan berarti setiap teknik telah dikonfirmasi untuk setiap korban.

6. Tidak ditemukan konfirmasi publik bahwa kampanye-kampanye tersebut secara khusus menargetkan organisasi Indonesia.

---

7) Sumber utama

CISA — Four KEV Additions, 9 September 2026 ↗

Microsoft MSRC — September 2026 Security Updates, 10 September 2026 ↗

NVD — CVE-2026-85880 ↗

NVD — CVE-2026-81963 ↗

NVD — CVE-2026-87491 ↗

Google Chrome Releases — Stable Channel Update, 8 September 2026 ↗

Cisco — Secure Firewall Management Center Authentication Bypass ↗

Microsoft Security Blog — September 2026 ↗

Trezor Forum — Possible Email Scam, 9 September 2026 ↗

Recorded Future News — Crypto Companies Warn of Phishing After Provider Breach ↗

To stop or manage this job, send me a new message (e.g. "stop reminder Laporan Harian Global Security Intelligence").