Microsoft Outlook Web: command injection memungkinkan bypass security feature melalui jaringan

Penyahnetralan elemen khusus yang tidak tepat dalam perintah ('command injection') di Windows Shell memungkinkan penyerang tanpa otorisasi melewati security feature melalui jaringan.

Kerentanan ini dapat memengaruhi kerahasiaan, integritas, dan ketersediaan layanan. Karena CVSS menunjukkan AV:N, AC:L, PR:N, dan UI:R, serangan dapat dilakukan dari jaringan tanpa autentikasi, tetapi tetap memerlukan interaksi pengguna. Dampaknya dapat mencakup penyalahgunaan fungsi sistem dan melemahnya kontrol keamanan yang seharusnya melindungi lingkungan organisasi.

Status KEV dan laporan eksploitasi aktif menaikkan risiko prioritas operasional. Dengan skor EPSS 0.09813, kemungkinan eksploitasi perlu dipantau bersama aset yang terekspos ke jaringan. Jika sistem menyimpan atau memproses data pribadi, risiko kepatuhan juga meningkat karena insiden dapat berdampak pada perlindungan data dan audit keamanan. Prioritaskan penanganan segera pada aset yang terdampak.

Akar masalah

Celah ini berasal dari CWE-77, yaitu penyalahgunaan atau penyaringan elemen khusus dalam perintah yang tidak memadai. Pada kasus ini, Windows Shell tidak menetralkan elemen perintah dengan benar, sehingga input yang tidak semestinya dapat memengaruhi eksekusi logika keamanan.

Kondisi pemicu

Deskripsi menunjukkan serangan terjadi melalui jaringan dan tidak memerlukan autentikasi. Namun, serangan tetap memerlukan interaksi pengguna karena nilai UI:R pada CVSS. Artinya, penyerang perlu memancing atau memengaruhi tindakan pengguna agar celah dapat terpicu.

Arti metrik CVSS

• AV:N berarti serangan dapat dilakukan dari jaringan.
• AC:L berarti tingkat kesulitan relatif rendah.
• PR:N berarti tidak diperlukan hak akses awal.
• UI:R berarti pengguna harus terlibat agar serangan berhasil.

Kombinasi metrik tersebut menunjukkan celah yang mudah dijangkau dari jaringan dan berisiko tinggi, terutama karena dampak pada kerahasiaan, integritas, dan ketersediaan masing-masing bernilai tinggi.

1. Terapkan mitigasi sesuai petunjuk vendor, dan pastikan kepatuhan terhadap panduan CISA BOD 26-04 Prioritizing Security Updates Based on Risk serta Forensics Triage Requirements. Ikuti panduan BOD 26-04 yang berlaku untuk cloud services atau hentikan penggunaan produk jika mitigasi tidak tersedia. Pastikan setiap aset dievaluasi dari sisi paparan internet dan patuhi pedoman patching BOD 26-04.
2. Perbarui ke versi yang telah diperbaiki untuk setiap platform yang terdampak: windows 10 1607 < 10.0.14393.9612, windows 10 1809 < 10.0.17763.9376, windows 10 21h2 < 10.0.19044.7807, windows 10 22h2 < 10.0.19045.7807, windows 11 23h2 < 10.0.22631.7652, windows 11 24h2 < 10.0.26100.9711, windows 11 25h2 < 10.0.26200.9711, windows 11 26h1 < 10.0.28000.3231, windows 11 26h2 < 10.0.26300.9711, windows server 2016 < 10.0.14393.9612, windows server 2019 < 10.0.17763.9376, windows server 2022 < 10.0.20348.5761, dan windows server 2025 < 10.0.26100.33650.
3. Untuk windows server 2012 r2, lakukan verifikasi status pembaruan dan mitigasi yang tersedia sebelum layanan tetap dipublikasikan (perlu diverifikasi).
4. Jika patch belum bisa diterapkan segera, batasi akses jaringan ke layanan terkait, perketat hak akses, dan nonaktifkan fitur yang terkait dengan alur perintah atau antarmuka yang terekspos jika memungkinkan (perlu diverifikasi).
5. Prioritaskan sistem yang terekspos ke internet, lalu validasi kembali setelah pembaruan untuk memastikan versi aman sudah terpasang.

1. Inventaris semua aset yang menjalankan outlook web, windows 10, windows 11, dan windows server yang tercantum sebagai terdampak, lalu cocokkan versinya dengan daftar versi aman.
2. Tinjau log aplikasi dan log layanan yang terkait dengan Windows Shell serta komponen Outlook Web untuk aktivitas yang tidak biasa sebelum dan sesudah percobaan akses.
3. Cari pola anomali yang masuk akal untuk command injection, seperti permintaan yang gagal, perilaku antarmuka yang tidak wajar, atau eksekusi fungsi yang tidak sesuai dengan alur normal pengguna.
4. Periksa perubahan konfigurasi atau perilaku keamanan yang menunjukkan security feature dilewati.
5. Gunakan referensi resmi untuk pembaruan status dan informasi tambahan: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96951, https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-96951, dan https://nvd.nist.gov/vuln/detail/CVE-2026-96951. Tidak ada IoC spesifik yang disediakan pada data sumber.