Microsoft merilis pembaruan keamanan periode Juli 2026 untuk Exchange Server Subscription Edition (SE) serta versi Extended Security Updates (ESU). Pembaruan tersebut menghadirkan solusi permanen atas kerentanan CVE-2026-42897 yang sejak awal tahun ini memaksa administrator menjalankan mitigasi manual darurat.
Celah keamanan itu sebelumnya hanya bisa diredam dengan aturan IIS tambahan atau modifikasi skrip EOMT. Setelah memasang tambalan terbaru, admin wajib mencabut mitigasi lama secara manual agar batasan fungsional pada server tidak tersisa. Langkah ini krusial supaya sistem kembali beroperasi normal.
CVE-2026-42897 termasuk dalam daftar kerentanan yang berpotensi dimanfaatkan penyerang untuk eskalasi hak akses dalam lingkungan surat elektronik korporat. Microsoft memang sempat merilis penanganan sementara, namun cara tersebut meninggalkan konfigurasi yang mengganggu kinerja beberapa layanan Exchange.
Layanan Emergency Mitigation (EM) turut menjadi sorotan. Microsoft memperingatkan bahwa EM Service bisa saja kembali menerapkan aturan lama secara otomatis sebelum peluncuran globalnya tuntas pada 16 Juli 2026. Administrator diharuskan memblokir mitigasi bernomor M2.1.0 agar pembaruan baru tidak bentrok dengan kebijakan usang.
Konteks lebih luas menunjukkan bahwa Exchange Server 2016 dan 2019 mulai memasuki fase akhir dukungan reguler. Perusahaan yang tidak mengikuti program ESU diminta segera bermigrasi ke Subscription Edition supaya tetap mendapatkan perbaikan keamanan resmi.
Di Indonesia, banyak instansi pemerintah dan perusahaan besar masih mengandalkan Exchange Server lokal karena kebijakan lokalisasi data. Pembaruan Juli 2026 ini langsung relevan bagi mereka yang mengelola infrastruktur surat elektronik on-premise. Kegagalan mencabut mitigasi lama dapat memicu gangguan layanan internal yang berujung pada tertundanya komunikasi bisnis.
Skrip Exchange Health Checker terbaru kini mendeteksi grup keamanan usang seperti Exchange Domain Servers. Di lingkungan TI Indonesia, penumpukan grup legacy sering terjadi akibat upgrade bertahap tanpa pembersihan menyeluruh. Penghapusan grup tersebut akan memangkas permukaan serangan dan memudahkan audit kepatuhan.
Dampaknya meluas ke sektor keuangan dan telekomunikasi yang wajib memenuhi standar keamanan siber nasional. Administrator lokal perlu menyesuaikan prosedur operasi standar karena proses reboot dan verifikasi layanan pasca-pembaruan menjadi kewajiban, bukan sekadar anjuran.
Menurut peringatan resmi Microsoft, layanan EM akan terus menyebarluaskan aturan mitigasi lama hingga tenggat 16 Juli 2026. "Administrator harus memblokir M2.1.0 secara spesifik," bunyi catatan yang dipublikasikan di forum Tech Community. Hal itu mencegah sistem kembali ke kondisi setengah aman.
Sementara itu, pembaruan kumulatif mensyaratkan pengguna menjalankan ulang server dan memastikan semua layanan berjalan sempurna. Langkah verifikasi pasca-instalasi sering diabaikan, padahal menjadi penentu apakah perbaikan CVE-2026-42897 benar-benar aktif.
Ke depan, Microsoft menegaskan arah produk server surat elektroniknya ke model langganan. Organisasi di Tanah Air yang masih menggunakan Exchange 2016 atau 2019 tanpa ESU berisiko kehilangan tameng keamanan tahun depan. Migrasi ke SE menjadi satu-satunya jalur yang didukung penuh.
Tren konsolidasi keamanan juga terlihat dari integrasi skrip pemeriksaan kesehatan ke dalam rutinitas pembaruan. Bagi industri TI Indonesia, kedisiplinan dalam menerapkan patch dan membersihkan konfigurasi warisan akan menentukan ketahanan sistem di era ancaman siber yang makin agresif.