Microsoft merilis pembaruan darurat untuk menutup celah keamanan berbahaya pada aplikasi Office yang dilaporkan tengah dieksploitasi peretas. Kerentanan tersebut tercatat dengan kode CVE-2026-21509 dan berdampak pada pengguna Microsoft 365, Office 2019, hingga Office 2016.

Microsoft menjelaskan, celah ini dimanfaatkan melalui serangan phishing dengan mengirimkan dokumen berbahaya kepada target. Ketika pengguna membuka file tersebut, penyerang berpotensi melewati fitur keamanan lokal dan mengambil kendali atas sistem yang rentan.

Berdasarkan laporan otoritas keamanan siber (CVE), fitur yang dapat dilewati dalam skenario serangan ini adalah Object Linking and Embedding (OLE). “Ketergantungan pada input yang tidak tepercaya dalam pengambilan keputusan keamanan di Microsoft Office memungkinkan penyerang yang tidak berwenang untuk melewati fitur keamanan secara lokal,” tulis CVE, dikutip Rabu, 28 Januari.

Microsoft menekankan bahwa kerentanan ini mengandalkan kelalaian pengguna. Perusahaan menyatakan penyerang harus mengirimkan file Office berbahaya dan meyakinkan pengguna untuk membukanya.

Untuk mitigasi, Microsoft meluncurkan pembaruan otomatis bagi pengguna Microsoft 365 dan Office 2021. Perlindungan disebut akan aktif melalui perubahan di sisi layanan. “Pelanggan yang menggunakan Office 2021 dan versi yang lebih baru akan secara otomatis terlindungi melalui perubahan di sisi layanan, tetapi perlu memulai ulang aplikasi Office mereka agar perubahan ini berlaku,” jelas Microsoft.

Sementara itu, perbaikan untuk pengguna Office 2016 dan 2019 dilaporkan masih dalam tahap pengerjaan. Pengguna versi lama disarankan mengikuti panduan manual dari Microsoft, termasuk menambahkan kunci registri baru sebagai perlindungan sementara.

Microsoft menyatakan terus memantau aktivitas peretas yang mencoba menyebarkan kode eksploitasi ini secara luas di internet, serta berkomitmen memperluas ketersediaan patch secepatnya agar pengguna kembali terlindungi dari ancaman peretasan.