Laporan Keamanan Minggu Ini: 3.636 CVE Baru, 1.731 Masuk Daftar KEV

Pekan ini kembali menegaskan bahwa permukaan serangan perangkat lunak tidak pernah benar-benar menyusut. Berdasarkan data terverifikasi dari National Vulnerability Database (NVD) dan katalog Known Exploited Vulnerabilities (KEV) milik Cybersecurity and Infrastructure Security Agency (CISA), tercatat 3.636 kerentanan baru yang masuk NVD dalam tujuh hari terakhir, sementara total entri KEV CISA kini menyentuh 1.731 kerentanan yang sudah terbukti dieksploitasi secara aktif di lapangan. Angka ini bukan sekadar statistik bulanan. Bagi tim operasional yang mengelola server produksi, dua daftar ini adalah kompas harian yang menentukan mana tambalan yang harus dipasang lebih dulu.

Ringkasan Angka Pekan Ini

Indikator	Nilai	Sumber	Tanggal data
Kerentanan baru NVD (7 hari terakhir)	3.636	NVD	2026-10-02
Total entri katalog KEV CISA	1.731	CISA KEV	2026-10-02
KEV terbaru: Fortinet FortiMail	CVE-2026-104286	CISA KEV	2026-10-01
KEV terbaru: Cisco Catalyst SD-WAN Manager	CVE-2026-76504	CISA KEV	2026-09-30
KEV terbaru: Apple Multiple Products	CVE-2026-86950	CISA KEV	2026-09-29

Membaca NVD dan KEV dengan Benar

Banyak tim masih menyamakan jumlah CVE dengan tingkat risiko. Padahal keduanya mengukur hal yang berbeda. NVD mencatat setiap kerentanan yang dilaporkan, diberi skor, dan didokumentasikan. Jumlah 3.636 CVE dalam sepekan adalah ukuran besarnya arus informasi, bukan ukuran ancaman. Sebaliknya, CISA KEV hanya memuat kerentanan yang sudah terbukti dieksploitasi di dunia nyata. Itulah sebabnya daftar KEV jauh lebih pendek namun jauh lebih mendesak. Total 1.731 entri berarti ada 1.731 celah yang sudah pernah dipakai penyerang, dan hampir semuanya masih bisa dipakai ulang selama tambalan belum dipasang.

Prioritas yang sehat kira-kira begini. Kerentanan yang muncul di KEV sekaligus dipakai di sektor infrastruktur kritis naik ke urutan teratas. Kerentanan dengan skor tinggi di NVD tetapi belum masuk KEV masuk lapis kedua. Sisanya menunggu jadwal pemeliharaan rutin. Dengan cara ini, tim tidak tenggelam mengejar 3.636 laporan baru setiap pekan. Yang perlu diingat, skor tinggi di NVD tetap layak diperhatikan karena kerentanan yang hari ini belum dieksploitasi bisa berpindah status menjadi KEV dalam hitungan hari begitu exploit publik beredar.

Tiga Entri KEV Terbaru yang Perlu Perhatian

Tiga entri terbaru pada katalog KEV CISA memberi gambaran tentang jenis produk yang paling sering disasar.

1. CVE-2026-104286 pada Fortinet FortiMail (ditambahkan 2026-10-01). FortiMail adalah gerbang email yang lazim dipakai organisasi untuk memfilter spam dan malware sebelum sampai ke kotak surat karyawan. Karena posisinya berada tepat di tepi jaringan dan menangani lalu lintas eksternal dalam jumlah besar, celah pada perangkat semacam ini punya nilai strategis tinggi bagi penyerang. Organisasi yang menjalankan FortiMail sebaiknya memperlakukan entri ini sebagai prioritas pemasangan tambalan, bukan item backlog yang menunggu senggang.

2. CVE-2026-76504 pada Cisco Catalyst SD-WAN Manager (ditambahkan 2026-09-30). Perangkat ini menjadi otak pengelolaan jaringan antar cabang pada banyak perusahaan. Kompromi di lapisan manajemen SD-WAN berarti penyerang berpotensi melihat, mengubah, atau memutus kendali atas topologi jaringan. Dampak bisnisnya langsung terasa, mulai dari gangguan layanan hingga risiko pergerakan lateral ke sistem lain di dalam jaringan internal.

3. CVE-2026-86950 pada Apple Multiple Products (ditambahkan 2026-09-29). Entri ini mencakup sejumlah produk Apple sekaligus, yang berarti perangkat pengguna akhir juga masuk dalam peta risiko. Untuk organisasi, hal ini menegaskan bahwa manajemen tambalan tidak cukup berhenti di server. Perangkat kerja karyawan, termasuk laptop dan perangkat seluler, ikut menentukan luas permukaan serangan secara keseluruhan.

Pola yang muncul dari ketiganya cukup jelas. Perangkat tepi jaringan, lapisan manajemen infrastruktur, dan perangkat pengguna akhir sama-sama jadi sasaran. Tidak ada satu titik yang bisa diabaikan tanpa membuka celah di titik lain.

Kenapa Kecepatan Merespons Lebih Penting dari Skor

Skor keparahan hanya berguna kalau tim bisa bergerak cepat setelahnya. Dalam praktiknya, selisih antara hari kerentanan diumumkan dan hari tambalan benar-benar terpasang adalah jendela paling berbahaya. Di jendela itu, exploit publik sering sudah beredar, dan pemindai otomatis mulai menemukan sistem yang belum ditambal. Semakin lama jendela terbuka, semakin besar kemungkinan celah itu benar-benar dipakai.

Karena itu, alur kerja yang sehat sebaiknya berjalan otomatis, bukan manual. Beberapa langkah yang bisa diterapkan tim kecil sekalipun:

1. Tarik feed NVD dan KEV secara berkala ke basis data internal.
2. Cocokkan daftar kerentanan dengan inventaris aset yang benar-benar dipakai.
3. Tandai aset yang muncul di KEV sebagai tiket prioritas tinggi secara otomatis.
4. Jalankan pemasangan tambalan pada jendela pemeliharaan yang sudah disepakati.
5. Catat setiap langkah agar bisa diaudit saat insiden terjadi.

Untuk menjalankan pipeline semacam ini, banyak tim memilih menempatkan worker penarik data di server virtual privat (VPS) yang terpisah dari server aplikasi utama. Tujuannya sederhana. Pekerjaan terjadwal yang menembak API eksternal setiap beberapa jam sebaiknya tidak berbagi sumber daya dengan layanan yang melayani pengguna. Infrastruktur cloud seperti Alibaba Cloud ECS bisa dipakai untuk menampung cron pengumpul data, basis data pencocokan aset, dan antrean tiket tanpa mengganggu mesin produksi.

Memanfaatkan Model Bahasa untuk Triase

Salah satu hambatan terbesar dalam menangani ribuan laporan CVE adalah membaca deskripsinya satu per satu. Model bahasa kini cukup matang untuk meringkas deskripsi CVE, memetakan produk yang terdampak ke inventaris internal, dan menyusun ringkasan prioritas harian untuk tim. Dengan begitu, analis hanya perlu menyentuh entri yang benar-benar relevan dengan aset organisasi, bukan seluruh 3.636 laporan yang masuk setiap pekan.

Kuncinya adalah menempatkan model pada beban kerja yang tepat. Ringkasan otomatis, klasifikasi kategori produk, dan penyusunan daftar prioritas adalah tugas yang cocok untuk model berbiaya rendah. Untuk keperluan ini, layanan inferensi berbasis token seperti Alibaba Cloud AI Service dapat dipakai untuk memproses teks CVE dalam jumlah besar dengan biaya yang terkendali. Yang perlu dijaga adalah verifikasi. Setiap ringkasan otomatis tetap harus bisa dilacak kembali ke entri aslinya di NVD atau CISA, sehingga tidak ada keputusan tambalan yang berdiri di atas teks tanpa rujukan.

Langkah Praktis untuk Pekan Ini

Kalau harus memilih, mulailah dari yang berdampak paling besar. Periksa apakah organisasi memakai produk yang muncul di tiga entri KEV terbaru. Jika ya, jadwalkan pemasangan tambalan secepatnya. Setelah itu, rapikan proses agar tidak bergantung pada ingatan satu orang. Feed otomatis, pencocokan aset, dan tiket prioritas yang lahir sendiri jauh lebih tahan lama daripada pengingat manual di grup obrolan tim.

Untuk tim yang belum punya pipeline apa pun, langkah paling murah adalah mulai dari daftar KEV saja. Daftar ini sengaja dijaga tetap ringkas oleh CISA, sehingga tim kecil pun bisa mengejarnya tanpa kehabisan tenaga. Setelah itu, baru perluas ke feed NVD untuk menangkap kerentanan yang belum dieksploitasi tetapi berdampak pada aset kritis. Dua langkah kecil ini sudah cukup untuk mengubah respons keamanan dari reaktif menjadi terjadwal.

Keterbatasan Data

Beberapa hal perlu dicatat agar angka dalam laporan ini tidak ditafsirkan berlebihan.

1. Jendela waktu berbeda. Angka 3.636 CVE adalah jumlah kerentanan yang tercatat NVD dalam tujuh hari terakhir. Angka 1.731 adalah total akumulatif seluruh entri KEV CISA sampai tanggal pengambilan data. Keduanya tidak bisa dijumlahkan atau dibandingkan langsung karena mengukur rentang waktu yang berbeda.
2. Penundaan publikasi. Setiap kerentanan punya jeda antara saat dilaporkan, dianalisis, diberi skor, dan dipublikasikan. Kerentanan yang baru ditemukan mungkin belum muncul di NVD saat data ini ditarik, sehingga angka sebenarnya bisa lebih tinggi dari yang tercatat.
3. KEV hanya mencerminkan yang terbukti dieksploitasi. Banyak kerentanan berbahaya tidak pernah masuk KEV karena tidak ada bukti eksploitasi publik, bukan karena tidak berbahaya. Ketiadaan entri di KEV bukan jaminan aman.
4. Kegagalan sumber. Pada proses pengambilan data kali ini, sumber World Bank mengalami timeout sehingga tidak disertakan. Karena itu, laporan ini hanya memakai sumber yang berhasil diverifikasi, yaitu NVD dan CISA KEV. Tidak ada angka dari sumber yang gagal yang dikarang atau diperkirakan.

Kesimpulan

Pekan ini menempatkan 3.636 kerentanan baru di depan mata, sementara daftar KEV bertambah menjadi 1.731 entri yang sudah terbukti dieksploitasi. Tiga entri terbaru, dari Fortinet FortiMail, Cisco Catalyst SD-WAN Manager, dan produk Apple, menunjukkan bahwa perangkat tepi, lapisan manajemen infrastruktur, dan perangkat pengguna akhir sama-sama berada di garis depan. Prioritas yang jelas, alur kerja otomatis, dan verifikasi setiap keputusan tambalan ke sumber resmi adalah tiga hal yang paling menentukan hasil akhirnya.

Sumber

Angka dan entri dalam laporan ini merujuk langsung pada sumber resmi berikut, diakses pada 2026-10-02: - National Vulnerability Database (NVD): https://nvd.nist.gov/ - CISA Known Exploited Vulnerabilities Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog - Detail CVE-2026-104286: https://nvd.nist.gov/vuln/detail/CVE-2026-104286 - Detail CVE-2026-76504: https://nvd.nist.gov/vuln/detail/CVE-2026-76504 - Detail CVE-2026-86950: https://nvd.nist.gov/vuln/detail/CVE-2026-86950