Microsoft Perketat Keamanan PowerShell di Windows 11, Skrip Lama Bisa Tidak Berfungsi

Seperti yang sudah dijelaskan dalam artikel sebelumnya, kita tahu bahwa Microsoft balik membawa fluktuasi krusial melalui pembaruan keamanan Windows 11 November 2026.

Selain menghadirkan sejumlah perbaikan keamanan, KB5132061 ternyata memperketat proses pengesahan tanda tangan digital pada skrip PowerShell, yang mana fluktuasi ini mungkin terdengar sepele bagi pelanggan biasa. Namun, bagi pengelola sistem, tim IT, maupun pelanggan yang mengandalkan PowerShell untuk otomatisasi, dampaknya bisa cukup merepotkan.

Nah pasalnya, sejumlah skrip durasi yang sebelumnya berhasil melewati proses verifikasi tanda tangan digital kini berpotensi dianggap tidak sah oleh Windows, dan menariknya fluktuasi ini juga menjadi salah satu bagiankecil yang perlu diperhatikan dari pembaruan Windows November 2026, terutama setelah kita membahas PowerShell 7.7 yang kini tersedia secara lazim dengan alas .NET 11.

Microsoft Memperketat Validasi Tanda Tangan PowerShell

Nah jadi kawan kawan, berdasarkan release note KB5132061, Microsoft memperkenalkan pengesahan text encoding yang lebih ketat untuk proses penandatanganan dan verifikasi tanda tangan skrip PowerShell.

Masalah utamanya berhubungan dengan karakter maupun teks yang memiliki encoding tidak valid, khususnya malformed UTF-8, sebelum pembaruan ini, Windows statis dapat menerima beberapa karakter dengan encoding yang tidak sesuai, dan dalam kondisi tertentu, karakter bermasalah tersebut akan diganti ketika proses decoding terjadi sehingga skrip statis bisa melewati proses verifikasi.

Namun, perilaku tersebut kini berubah, karena setelah pembaruan diterapkan, Windows akan secara tegas menolak teks dengan format UTF-8 yang malformedm yang mana konsekuensinya, tanda tangan digital pada skrip yang memiliki masalah encoding bisa gagal diverifikasi, meskipun sebelumnya skrip tersebut dianggap valid.

Dengan kata lain, masalahnya bukan selalu terletak pada sertifikat digital yang digunakan, dan isi skrip itu sendiri bisa menjadi penyebab proses verifikasi gagal.

Kenapa Skrip yang Sebelumnya Valid Bisa Menjadi NotSigned?

Untuk memahami dampaknya, kita perlu melihat sedikit metode kerja penandatanganan skrip PowerShell, dimana PowerShell mendukung Authenticode, yaitu mekanisme tanda tangan digital yang digunakan untuk memastikan identitas penerbit dan mendeteksi fluktuasi pada skrip.

Nah Administrator biasanya menggunakan Set-AuthenticodeSignature untuk memberikan tanda tangan digital pada file skrip, sementara itu, Get-AuthenticodeSignature digunakan untuk memeriksa status tanda tangan tersebut.

Namun melalui fluktuasi pada KB5132061 proses pengesahan teks dibuat menjadi lebih ketat, sebagai contoh, ketika pengelola menjalankan perintah berikut:

Get-AuthenticodeSignature .\script-lama.ps1

Skrip yang sebelumnya berhasil diverifikasi kini bisa menghasilkan status:

Status : NotSigned

Padahal, skrip tersebut sebenarnya pernah ditandatangani menggunakan sertifikat digital, nah hal serupa juga bisa terjadi ketika pengelola mencoba menandatangani ulang file bermasalah menggunakan Set-AuthenticodeSignature. Proses tersebut dapat menghasilkan error karena Windows menemukan encoding teks yang tidak valid.

Jadi, jangan langsung berasumsi bahwa sertifikat digital sudah kedaluwarsa maupun file skrip telah dimodifikasi pihak lain, karena encoding file juga perlu diperiksa.

Apa Itu Malformed UTF-8 dan Kenapa Bisa Menjadi Masalah?

Nah UTF-8 merupakan salah satu format encoding karakter yang paling banyak digunakan untuk menyimpan teks, termasuk file skrip dan konfigurasi. Dalam kondisi normal, setiap karakter direpresentasikan menggunakan rangkaian byte yang mengikuti ketentuan UTF-8.

Namun, file bisa saja memiliki rangkaian byte yang tidak sesuai dengan ketentuan tersebut. Kondisi inilah yang disebut malformed UTF-8, dimana masalah seperti ini dapat muncul dari proses gudang maupun konversi file yang tidak konsisten, penggunaan editor tertentu, maupun skrip durasi yang dibuat dengan metode encoding berbeda.

Sebelumnya, Windows statis memiliki toleransi terhadap beberapa karakter yang tidak sah ketika berbuat decoding, namun kini toleransi tersebut diperketat untuk memastikan proses pengesahan tanda tangan digital tidak menerima representasi teks yang bermasalah.

Dari sisi keamanan, cara ini jelas masuk kal, karena pengesahan encoding yang konsisten membantu mencegah perbedaan interpretasi terhadap isi skrip ketika diproses oleh mekanisme yang berbeda.

Namun, konsekuensinya adalah skrip durasi yang tidak memenuhi ketentuan encoding tersebut bisa mengalami kegagalan verifikasi.

Microsoft Menyediakan PowerShell Repair Tool

Kabar baiknya, Microsoft tidak cuma menerangkan masalah ini, tetapi juga menyediakan alat perbaikan khusus untuk membantu pengelola menangani skrip yang terdampak.

Melalui PowerShell Repair Tool, pelanggan dapat memindai sejumlah file skrip untuk menemukan potensi masalah encoding, kecuali itu tool tersebut juga dapat mencoba memperbaiki file yang bermasalah sambil mempertahankan tanda tangan digital yang sudah ada.

Tapi ada satu hal yang perlu diperhatikan, tool ini tidak langsung menimpa file asli, dengan begitu, pengelola statis memiliki duplikat mula jika proses perbaikan tidak berjalan sesuai harapan.

Meski begitu, Microsoft mengingatkan bahwa tidak semua skrip dapat diperbaiki secara otomatis, dan untuk skrip yang tidak berhasil diperbaiki, Microsoft menyarankan pengelola menyimpan ulang file menggunakan encoding UTF-8 yang sah dengan Byte Order Mark (BOM), meninjau balik isi skrip, kemudian berbuat penandatanganan ulang.

Nah untuk lebih jelasnya sih Anda bisa pelajari dan download toolnya dari link PowerShell SIP Repair Tool dan Panduan Canonical Repair.

Apakah Hanya Windows 11 yang Terdampak?

Jawabannya tidak sepenuhnya guys, karena meskipun memang bahasan kali ini datang dari pembaruan KB5132061 untuk Windows 11, panduan Microsoft juga mencakup beberapa mekanisme operasi lain, misalkan saja Windows 10 Enterprise LTSC 2021, Windows Server 2025 dan Beberapa varian Windows Server lainnya yang tercakup dalam dokumentasi Microsoft.

Artinya, pengelola yang mengelola lingkungan Windows Server juga perlu memperhatikan fluktuasi ini, terutama jika memiliki banyak skrip PowerShell yang digunakan untuk otomatisasi operasional.

Bagi pengelola yang mendapati skrip otomatisasi tiba-tiba gagal berjalan setelah memasang pembaruan November 2026, ada beberapa cara yang sebaiknya dilakukan sebelum menonaktifkan kebijakan keamanan ini.

1. Periksa status tanda tangan menggunakan Get-AuthenticodeSignature.
2. Pastikan file skrip tidak memiliki masalah encoding, khususnya malformed UTF-8.
3. Buat duplikat cadangan sebelum berbuat perbaikan.
4. Gunakan PowerShell Repair Tool dari Microsoft untuk memindai dan memperbaiki file yang terdampak.
5. Jika perbaikan otomatis tidak berhasil, simpan ulang skrip menggunakan UTF-8 dengan BOM, tinjau isinya, kemudian tanda tangani ulang.

Hindari langsung menonaktifkan kebijakan eksekusi maupun mekanisme pengesahan tanda tangan cuma agar skrip balik berjalan, karena cara tersebut bisa mengurangi perlindungan yang justru mau diperkuat Microsoft melalui pembaruan ini.

Kesimpulannya

KB5132061 bukan sekadar pembaruan keamanan Windows 11 biasa, dimana Microsoft juga memperketat pengesahan encoding dalam proses penandatanganan dan verifikasi skrip PowerShell.

Bagi pelanggan rumahan, fluktuasi ini mungkin tidak terlalu terasa, namun bagi administrator, tim IT, dan pelanggan yang memiliki banyak skrip otomatisasi, dampaknya patut diperhatikan.

Nah menariknya, kasus ini juga memperlihatkan bahwa peningkatan keamanan terkadang memiliki akibat terhadap kompatibilitas mekanisme lama, dimana skrip yang selama bertahun-tahun berjalan normal belum tentu akan terus diterima setelah mekanisme pengesahan diperketat.

Bagaimana menurutmu? komen dibawah guys.