AI menemukan bug lebih cepat dari kita menambalnya
Microsoft menambal 1.411 celah dalam sebulan, dan bug terparah di Node.js ditemukan oleh AI. Jarak antara "ditemukan" dan "dieksploitasi" makin pendek. Ini yang berubah buat developer kecil seperti saya.
Angka yang paling lama saya pandangi bulan ini bukan nomor CVE. Angkanya 1.411.
Itu jumlah celah yang ditambal Microsoft di Patch Tuesday Oktober. Rekor. Penjelasan Microsoft singkat: mereka makin banyak memakai AI untuk mencari dan memperbaiki kerentanan di produknya sendiri.
Lalu ada Node.js. Bug paling serius di rilis keamanan 21 Oktober, yaitu out-of-bounds write di dekoder Brotli, ditemukan oleh tim Codex Security dari OpenAI. Di hari yang sama, TechCrunch melaporkan situs-situs pemerintah di berbagai negara offline setelah celah kritis PHP yang ditemukan dengan bantuan AI diumumkan.
Tiga kejadian, satu pola.
Kabar baiknya
Bug yang ditemukan adalah bug yang bisa ditambal. Celah di dekoder Brotli itu mungkin sudah ada bertahun-tahun tanpa ada yang melihat. Sekarang sudah tertutup. Kalau AI membuat pembuat software menemukan lubangnya sendiri lebih dulu, internet secara keseluruhan jadi lebih aman.
Kabar buruknya
Alat yang sama tersedia untuk penyerang. Begitu sebuah patch terbit, perbedaan antara versi lama dan versi baru adalah peta harta karun: bagian kode mana yang diubah, dan kenapa. Membaca diff itu dan mengubahnya jadi exploit dulu butuh orang ahli dan waktu berhari-hari. Sekarang jauh lebih cepat.
Lihat jadwal PHP bulan ini. Patch terbit 21 Oktober. Lima hari kemudian, CISA sudah mencatatnya sebagai celah yang dieksploitasi di dunia nyata.
Lima hari. Banyak tim yang siklus update-nya bulanan.
Yang saya ubah
Saya bukan perusahaan besar dengan tim keamanan. Saya satu orang dengan satu VPS dan beberapa aplikasi. Jadi yang realistis buat saya:
Lebih sedikit yang terpasang, lebih sedikit yang perlu ditambal. Server saya tidak menjalankan PHP atau Node sama sekali, jadi dua celah terbesar bulan ini tidak menyentuh saya. Itu bukan keberuntungan, itu pilihan. Setiap paket yang tidak terpasang adalah satu advisori yang tidak perlu saya baca jam dua pagi.
Update bukan lagi pekerjaan "nanti". Saya dulu menunda update sistem karena takut ada yang rusak. Sekarang hitungannya terbalik: risiko menunggu lebih besar dari risiko update. Karena itu saya punya backup harian yang sudah saya buka dan periksa isinya, supaya update yang gagal bisa dibalikkan.
Tahu persis apa yang berjalan. Waktu advisori PHP keluar, saya bisa menjawab "apakah saya terdampak?" dalam satu menit, karena tahu persis apa yang terpasang di server. Kalau butuh setengah hari untuk menjawab pertanyaan itu, di situ masalahnya.
Saya tidak tahu apakah 1.411 akan jadi angka normal tahun depan. Dugaan saya iya. Dan saya lebih memilih bersiap untuk itu sekarang.
Sumber: BleepingComputer, Patch Tuesday Oktober 2026 · Node.js October 2026 security releases · TechCrunch, 21 Oktober 2026 · Canadian Centre for Cyber Security, AL26-026