Microsoft Perketat Keamanan PowerShell di Windows 11, Skrip Lama Bisa Tidak Berfungsi

Seperti yang sudah dijelaskan dalam artikel sebelumnya, kita tahu bahwa Microsoft kembali membawa perubahan penting melalui update keamanan Windows 11 November 2026.

Selain menghadirkan sejumlah perbaikan keamanan, KB5132061 ternyata memperketat proses validasi tanda tangan digital pada skrip PowerShell, yang mana perubahan ini mungkin terdengar sepele bagi pengguna biasa. Namun, bagi administrator sistem, tim IT, maupun pengguna yang mengandalkan PowerShell untuk otomatisasi, dampaknya bisa cukup merepotkan.

Nah pasalnya, sejumlah skrip lama yang sebelumnya berhasil melewati proses verifikasi tanda tangan digital kini berpotensi dianggap tidak valid oleh Windows, dan menariknya perubahan ini juga menjadi salah satu bagian yang perlu diperhatikan dari update Windows November 2026, terutama setelah kita membahas PowerShell 7.7 yang kini tersedia secara umum dengan basis .NET 11.

Microsoft Memperketat Validasi Tanda Tangan PowerShell

Nah jadi kawan kawan, berdasarkan release note KB5132061, Microsoft memperkenalkan validasi text encoding yang lebih ketat untuk proses penandatanganan dan verifikasi tanda tangan skrip PowerShell.

Masalah utamanya berkaitan dengan karakter atau teks yang memiliki encoding tidak valid, khususnya malformed UTF-8, sebelum update ini, Windows masih dapat menerima beberapa karakter dengan encoding yang tidak sesuai, dan dalam kondisi tertentu, karakter bermasalah tersebut akan diganti ketika proses decoding berlangsung sehingga skrip tetap bisa melewati proses verifikasi.

Namun, perilaku tersebut kini berubah, karena setelah update diterapkan, Windows akan secara eksplisit menolak teks dengan format UTF-8 yang malformedm yang mana konsekuensinya, tanda tangan digital pada skrip yang memiliki masalah encoding bisa gagal diverifikasi, meskipun sebelumnya skrip tersebut dianggap valid.

Dengan kata lain, masalahnya bukan selalu terletak pada sertifikat digital yang digunakan, dan isi skrip itu sendiri bisa menjadi penyebab proses verifikasi gagal.

Kenapa Skrip yang Sebelumnya Valid Bisa Menjadi NotSigned?

Untuk memahami dampaknya, kita perlu melihat sedikit cara kerja penandatanganan skrip PowerShell, dimana PowerShell mendukung Authenticode, yaitu mekanisme tanda tangan digital yang digunakan untuk memastikan identitas penerbit dan mendeteksi perubahan pada skrip.

Nah Administrator biasanya menggunakan Set-AuthenticodeSignature untuk memberikan tanda tangan digital pada file skrip, sementara itu, Get-AuthenticodeSignature digunakan untuk memeriksa status tanda tangan tersebut.

Namun melalui perubahan pada KB5132061 proses validasi teks dibuat menjadi lebih ketat, sebagai contoh, ketika administrator menjalankan perintah berikut:

Get-AuthenticodeSignature .\script-lama.ps1

Skrip yang sebelumnya berhasil diverifikasi kini bisa menghasilkan status:

Status : NotSigned

Padahal, skrip tersebut sebenarnya pernah ditandatangani menggunakan sertifikat digital, nah hal serupa juga bisa terjadi ketika administrator mencoba menandatangani ulang file bermasalah menggunakan Set-AuthenticodeSignature. Proses tersebut dapat menghasilkan error karena Windows menemukan encoding teks yang tidak valid.

Jadi, jangan langsung berasumsi bahwa sertifikat digital sudah kedaluwarsa atau file skrip telah dimodifikasi pihak lain, karena encoding file juga perlu diperiksa.

Apa Itu Malformed UTF-8 dan Kenapa Bisa Menjadi Masalah?

Nah UTF-8 merupakan salah satu format encoding karakter yang paling banyak digunakan untuk menyimpan teks, termasuk file skrip dan konfigurasi. Dalam kondisi normal, setiap karakter direpresentasikan menggunakan rangkaian byte yang mengikuti aturan UTF-8.

Namun, file bisa saja memiliki rangkaian byte yang tidak sesuai dengan aturan tersebut. Kondisi inilah yang disebut malformed UTF-8, dimana masalah seperti ini dapat muncul dari proses penyimpanan atau konversi file yang tidak konsisten, penggunaan editor tertentu, maupun skrip lama yang dibuat dengan metode encoding berbeda.

Sebelumnya, Windows masih memiliki toleransi terhadap beberapa karakter yang tidak valid ketika melakukan decoding, namun kini toleransi tersebut diperketat untuk memastikan proses validasi tanda tangan digital tidak menerima representasi teks yang bermasalah.

Dari sisi keamanan, langkah ini jelas masuk kal, karena validasi encoding yang konsisten membantu mencegah perbedaan interpretasi terhadap isi skrip ketika diproses oleh sistem yang berbeda.

Namun, konsekuensinya adalah skrip lama yang tidak memenuhi aturan encoding tersebut bisa mengalami kegagalan verifikasi.

Microsoft Menyediakan PowerShell Repair Tool

Kabar baiknya, Microsoft tidak hanya menjelaskan masalah ini, tetapi juga menyediakan alat perbaikan khusus untuk membantu administrator menangani skrip yang terdampak.

Melalui PowerShell Repair Tool, pengguna dapat memindai sejumlah file skrip untuk menemukan potensi masalah encoding, selain itu tool tersebut juga dapat mencoba memperbaiki file yang bermasalah sambil mempertahankan tanda tangan digital yang sudah ada.

Tapi ada satu hal yang perlu diperhatikan, tool ini tidak langsung menimpa file asli, dengan begitu, administrator masih memiliki salinan awal apabila proses perbaikan tidak berjalan sesuai harapan.

Meski begitu, Microsoft mengingatkan bahwa tidak semua skrip dapat diperbaiki secara otomatis, dan untuk skrip yang tidak berhasil diperbaiki, Microsoft menyarankan administrator menyimpan ulang file menggunakan encoding UTF-8 yang valid dengan Byte Order Mark (BOM), meninjau kembali isi skrip, kemudian melakukan penandatanganan ulang.

Nah untuk lebih jelasnya sih kamu bisa pelajari dan download toolnya dari link PowerShell SIP Repair Tool dan Panduan Canonical Repair.

Apakah Hanya Windows 11 yang Terdampak?

Jawabannya tidak sepenuhnya guys, karena meskipun memang pembahasan kali ini hadir dari update KB5132061 untuk Windows 11, panduan Microsoft juga mencakup beberapa sistem operasi lain, misalkan saja Windows 10 Enterprise LTSC 2021, Windows Server 2025 dan Beberapa versi Windows Server lainnya yang tercakup dalam dokumentasi Microsoft.

Artinya, administrator yang mengelola lingkungan Windows Server juga perlu memperhatikan perubahan ini, terutama jika memiliki banyak skrip PowerShell yang digunakan untuk otomatisasi operasional.

Bagi administrator yang mendapati skrip otomatisasi tiba-tiba gagal berjalan setelah memasang update November 2026, ada beberapa langkah yang sebaiknya dilakukan sebelum menonaktifkan kebijakan keamanan ini.

1. Periksa status tanda tangan menggunakan Get-AuthenticodeSignature.
2. Pastikan file skrip tidak memiliki masalah encoding, khususnya malformed UTF-8.
3. Buat salinan cadangan sebelum melakukan perbaikan.
4. Gunakan PowerShell Repair Tool dari Microsoft untuk memindai dan memperbaiki file yang terdampak.
5. Jika perbaikan otomatis tidak berhasil, simpan ulang skrip menggunakan UTF-8 dengan BOM, tinjau isinya, kemudian tanda tangani ulang.

Hindari langsung menonaktifkan kebijakan eksekusi atau mekanisme validasi tanda tangan hanya agar skrip kembali berjalan, karena langkah tersebut bisa mengurangi perlindungan yang justru ingin diperkuat Microsoft melalui update ini.

Kesimpulannya

KB5132061 bukan sekadar update keamanan Windows 11 biasa, dimana Microsoft juga memperketat validasi encoding dalam proses penandatanganan dan verifikasi skrip PowerShell.

Bagi pengguna rumahan, perubahan ini mungkin tidak terlalu terasa, namun bagi administrator, tim IT, dan pengguna yang memiliki banyak skrip otomatisasi, dampaknya patut diperhatikan.

Nah menariknya, kasus ini juga memperlihatkan bahwa peningkatan keamanan terkadang memiliki konsekuensi terhadap kompatibilitas sistem lama, dimana skrip yang selama bertahun-tahun berjalan normal belum tentu akan terus diterima setelah mekanisme validasi diperketat.

Bagaimana menurutmu? komen dibawah guys.