Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) mengeluarkan peringatan resmi terkait tiga kerentanan pada Microsoft SharePoint Server yang saat ini sedang dimanfaatkan secara aktif oleh penyerang di dunia maya. Kerentanan tersebut memungkinkan eksekusi kode jarak jauh serta eskalasi hak akses, membahayakan server organisasi yang belum menerapkan tambalan keamanan terbaru.
Kode identifikasi kerentanan yang dimaksud adalah CVE-2026-32201, CVE-2026-45659, dan CVE-2026-56164. Ketiganya berada dalam kategori risiko tinggi karena dapat digunakan untuk menjalankan perintah berbahaya tanpa interaksi dari administrator. Penyerang mengeksploitasi celah ini guna mencuri kunci mesin Internet Information Services (IIS) yang seharusnya menjadi rahasia sistem.
Setelah kunci IIS berhasil diambil, pelaku serangan melakukan teknik deserialisasi yang memungkinkan mereka menyisipkan muatan perangkat lunak jahat ke dalam memori server. Metode ini memberikan akses persisten jangka panjang tanpa memicu alarm keamanan konvensional. Dari posisi tersebut, penyerang dapat menyebarkan ransomware atau malware lainnya ke seluruh jaringan internal korban.
Kasus ini menambah daftar panjang eksploitasi terhadap produk kolaborasi perusahaan yang menjadi tulang punggung operasional banyak institusi. SharePoint Server kerap digunakan untuk manajemen dokumen, situs internal, dan integrasi layanan Microsoft lainnya. Ketergantungan tinggi terhadap platform ini membuat setiap kerentanan berskala kritis berpotensi melumpuhkan layanan publik maupun bisnis.
CISA tidak menyebutkan identitas kelompok peretas di balik kampanye ini, namun pola serangannya menunjukkan tingkat sophistikasi yang biasa diasosiasikan dengan aktor negara atau sindikat kejahatan siber terorganisir. Pemanfaatan kunci mesin IIS sebagai pivot awal merupakan teknik yang jarang terdeteksi oleh perangkat keamanan generasi lama. Hal ini memaksa organisasi untuk meninjau ulang arsitektur pertahanan mereka.
Bagi perusahaan di Indonesia, ancaman ini relevan mengingat banyak kementerian, lembaga negara, dan korporasi besar masih mengoperasikan SharePoint Server secara on-premise. Beberapa di antaranya belum mengaktifkan integrasi Antimalware Scan Interface (AMSI) yang dapat mendeteksi aktivitas deserialisasi berbahaya. Kondisi tersebut menjadikan mereka sasaran empuk jika tidak segera melakukan hardening sistem.
Dampak dari eksploitasi ini tidak terbatas pada kebocoran data. Esalasi hak akses yang diberikan oleh CVE-2026-45659 memungkinkan penyerang menguasai akun privileged, lalu bergerak lateral ke sistem lain. Di Indonesia, insiden serupa pernah terjadi pada layanan pemerintah yang akhirnya berujung pada pemerasan digital bernilai miliaran rupiah.
Rekomendasi teknis dari CISA sangat spesifik. Administrator harus memprioritaskan pemasangan tambalan keamanan terbaru dan memverifikasi bahwa AMSI aktif pada lingkungan SharePoint. Pembatasan akses eksternal ke SharePoint Central Administration juga wajib dilakukan agar konsol manajemen tidak terekspos ke internet publik.
Langkah krusial lainnya adalah rotasi kunci mesin IIS setelah organisasi melakukan pemburuan ancaman (threat hunt) secara menyeluruh. Jika kunci lama tidak diganti, akses persisten penyerang tetap dapat berfungsi meski server sudah ditambal. Pemantauan aktivitas tidak wajar dan penerapan pencatatan log yang kuat menjadi penentu deteksi dini gerakan pasca-eksploitasi.
“Organisasi harus menganggap infrastruktur yang belum dipatch sebagai aset yang sudah terkompromi,” tegas panduan CISA yang merujuk pada kebiasaan peretas mempertahankan akses melalui kunci yang dicuri. Pernyataan tersebut mencerminkan urgensi rotasi kredensial sistem, bukan sekadar penutupan celah teknis.
Ke depan, tren eksploitasi produk perangkat lunak enterprise akan bergeser dari pencarian celah tunggal ke rantai serangan multicelah seperti yang terlihat pada trio CVE ini. Vendor seperti Microsoft diperkirakan akan memperketat kebijakan default keamanan pada rilis mendatang. Namun, tanggung jawab mitigasi tetap berada di tangan administrator yang sering kali terkendala keterbatasan sumber daya.
Pemerintah Indonesia melalui Badan Siber dan Sandi Negara (BSSN) perlu menyiapkan advis teknis tersendiri jika ditemukan indikasi eksploitasi serupa di dalam negeri. Sinergi antara pemilik infrastruktur dan otoritas keamanan siber menjadi kunci meminimalisasi kerugian sektor strategis.
Bagi pembaca teknologi Tanah Air, berita ini menegaskan bahwa keamanan bukan produk yang dibeli, melainkan praktik berkelanjutan. Organisasi yang mengabaikan rotasi kunci dan pembatasan akses administratif akan terus menjadi korban dalam lanskap ancaman yang makin agresif.