Pengantar

Pengguna perangkat MikroTik perlu meningkatkan kewaspadaan. Sejumlah kerentanan serius pada MikroTik RouterOS saat ini sedang dieksploitasi secara aktif oleh penyerang.

CERT Polska, tim tanggap insiden keamanan siber Polandia, mengonfirmasi adanya serangan terhadap perangkat MikroTik yang layanan SSH-nya dapat diakses langsung dari internet. Dalam kondisi tertentu, penyerang dapat mengambil alih router dan memperoleh hak administrator tanpa harus melakukan autentikasi secara normal.

Yang membuat situasi ini semakin serius adalah serangan tersebut bukan sekadar kemungkinan. CERT Polska telah mengamati eksploitasi nyata terhadap perangkat RouterOS sejak setidaknya 2 September 2026.

Apa yang Terjadi pada MikroTik RouterOS?

RouterOS adalah sistem operasi yang digunakan pada berbagai perangkat router MikroTik.

Perangkat MikroTik banyak digunakan untuk membangun jaringan internet dan jaringan internal, mulai dari rumah, kantor, kampus, sekolah, perusahaan, ISP, hingga organisasi pemerintahan.

Masalah muncul ketika terdapat kerentanan pada RouterOS dan layanan administrasi router tersebut dapat diakses dari internet.

CERT Polska menemukan enam kerentanan pada RouterOS. Kerentanan tersebut berkaitan dengan beberapa komponen, termasuk SSH, layanan bandwidth-test, penanganan sertifikat X.509, dan WebFig.

Dua kerentanan paling serius dapat digabungkan dalam sebuah rangkaian serangan yang diberi nama MikroTrick.

Dengan memanfaatkan kombinasi tersebut, attacker dapat mengambil alih perangkat yang mengekspos SSH ke jaringan publik.

Apa Itu MikroTrick?

MikroTrick bukan nama produk MikroTik, melainkan nama yang diberikan CERT Polska untuk kombinasi dua kerentanan yang dapat digunakan untuk mengambil alih RouterOS.

Secara sederhana, alurnya dapat dibayangkan seperti ini:

Router MikroTik → SSH terbuka ke internet → kerentanan dieksploitasi → autentikasi dilewati → hak akses meningkat → router dikuasai attacker.

Salah satu kerentanannya adalah CVE-2026-67276, yang memungkinkan bypass autentikasi SSH. Kerentanan ini memiliki skor CVSS 9.2.

Kerentanan lainnya adalah CVE-2026-86060, yang juga memiliki CVSS 9.2 dan dapat digunakan untuk meningkatkan hak akses hingga menjadi administrator penuh.

Dengan menggabungkan keduanya, attacker dapat memperoleh kendali penuh atas perangkat tanpa autentikasi yang seharusnya.

Enam Kerentanan yang Ditemukan

CERT Polska melaporkan enam kerentanan pada RouterOS:

CVE	Komponen	Dampak
CVE-2026-67276	SSH	Bypass autentikasi
CVE-2026-67277	Bandwidth-test	Kebocoran memori dan crash
CVE-2026-67278	X.509	Masalah validasi sertifikat
CVE-2026-67279	SSH	Eksekusi perintah tanpa autentikasi
CVE-2026-67281	WebFig	Pengungkapan file tanpa autentikasi
CVE-2026-86060	SSH	Eskalasi hak akses

Tidak semua kerentanan tersebut memiliki dampak yang sama. Namun, kombinasi kerentanan SSH tertentu menjadi sangat berbahaya karena dapat berujung pada pengambilalihan penuh perangkat.

Mengapa SSH Menjadi Sangat Penting?

SSH merupakan salah satu metode yang digunakan administrator untuk mengelola router secara remote.

Masalahnya, jika SSH router dapat diakses langsung dari internet, perangkat tersebut dapat menjadi sasaran attacker dari seluruh dunia.

Bayangkan router sebagai pintu utama sebuah gedung.

Jika pintu tersebut menghadap langsung ke jalan dan mekanisme kuncinya memiliki kelemahan, siapa pun dapat mencoba mengeksploitasinya.

Hal yang sama terjadi pada router.

Karena itu, konfigurasi seperti:

Internet → SSH → Router

memiliki risiko yang lebih tinggi dibandingkan:

Administrator → VPN → Network Management → Router

Bukan berarti SSH selalu berbahaya. Masalahnya adalah SSH yang terbuka ke jaringan publik pada perangkat yang belum diperbarui.

Lebih dari 122.500 Router Terdeteksi Mengekspos SSH

Situasi ini menjadi semakin mengkhawatirkan karena pemindaian internet menemukan lebih dari 122.500 perangkat MikroTik yang mengekspos SSH ke internet. Angka tersebut dilaporkan dalam pemberitaan Cybernews berdasarkan data Shadowserver.

Artinya, terdapat jumlah perangkat yang cukup besar yang berpotensi menjadi sasaran apabila menggunakan versi RouterOS yang rentan.

Namun, penting dipahami bahwa SSH terbuka tidak otomatis berarti perangkat sudah diretas.

Risiko bergantung pada versi RouterOS, konfigurasi, serta apakah perangkat tersebut telah dieksploitasi.

Serangan Sudah Terjadi

Ini bukan lagi sekadar peringatan mengenai kerentanan yang mungkin dimanfaatkan suatu saat nanti.

CERT Polska menyatakan telah memperoleh konfirmasi bahwa kombinasi kerentanan MikroTrick memang digunakan dalam serangan terhadap perangkat RouterOS yang SSH-nya dapat diakses dari jaringan publik.

Aktivitas tersebut telah diamati sejak setidaknya 2 September 2026.

Karena itu, administrator tidak cukup hanya melakukan update.

Mereka juga perlu memeriksa apakah perangkat sudah pernah dikompromikan.

Bagaimana Mengetahui Router Mungkin Sudah Diretas?

CERT Polska menemukan sejumlah indikator kompromi yang dapat diperiksa administrator.

Salah satunya adalah log seperti:

login failure for user -2 from <IP> via ssh

atau:

user <name> added by ssh:-2@<IP>

Indikator lainnya adalah keberadaan akun dengan hak istimewa tinggi bernama:

ops

Jika menemukan indikator seperti ini, jangan langsung menganggapnya sebagai kesalahan konfigurasi biasa.

Perangkat perlu diperiksa lebih lanjut karena bisa menjadi tanda bahwa router telah diambil alih.

Ada Juga Mekanisme “Flagged”

Pada versi RouterOS yang telah diperbaiki, MikroTik menambahkan mekanisme yang dapat mendeteksi beberapa tanda perubahan konfigurasi yang mencurigakan.

Perangkat dapat memberikan tanda Flagged apabila menemukan indikasi tertentu.

Namun ada satu hal penting:

Tidak adanya status Flagged bukan berarti router pasti aman.

Mekanisme tersebut hanya dapat mendeteksi jejak kompromi tertentu. Jadi administrator tetap perlu melakukan pemeriksaan konfigurasi dan log.

Versi RouterOS yang Sudah Diperbaiki

MikroTik telah menyediakan versi yang mengandung perbaikan keamanan.

Versi yang disebut CERT Polska antara lain:

• RouterOS 6.49.21
• RouterOS 7.23.4
• RouterOS 7.24.2
• RouterOS 7.25beta3

Administrator disarankan melakukan upgrade ke versi yang sesuai dengan release channel dan perangkat yang digunakan.

Untuk perangkat produksi, administrator sebaiknya tetap memperhatikan kompatibilitas dan prosedur perubahan sebelum melakukan upgrade.

Apa yang Harus Dilakukan Administrator?

Langkah pertama adalah sederhana:

1. Update RouterOS

Jangan menunda update apabila perangkat masih menggunakan versi yang rentan.

Patch adalah langkah paling penting untuk menghentikan eksploitasi yang sudah diketahui.

2. Periksa SSH

Jika SSH tidak diperlukan dari internet, jangan biarkan layanan tersebut dapat diakses oleh semua alamat IP.

Batasi akses hanya dari jaringan management atau alamat IP administrator.

3. Periksa WebFig

Lakukan hal yang sama terhadap WebFig dan layanan management lainnya.

Interface administrasi sebaiknya tidak dibuka bebas ke internet.

4. Periksa User

Lihat daftar akun administrator.

Pastikan tidak ada akun yang tidak dikenal.

Perhatikan secara khusus akun dengan privilege tinggi.

5. Periksa Script dan Scheduler

Attacker yang berhasil masuk dapat mencoba mempertahankan akses melalui perubahan konfigurasi.

Periksa:

• script
• scheduler
• proxy
• tunnel
• firewall
• NAT
• DNS
• akun administrator

MikroTik dan CERT Polska secara khusus merekomendasikan pemeriksaan terhadap user, script, scheduler, proxy, tunnel, dan perubahan konfigurasi lainnya.

Bagaimana Jika Router Sudah Terkompromi?

Ini bagian yang sangat penting.

Jika terdapat indikasi kuat bahwa router telah diretas, jangan hanya melakukan update kemudian menganggap masalah selesai.

Router yang sudah dikuasai attacker harus diperlakukan sebagai perangkat yang tidak lagi terpercaya.

Langkah yang lebih aman adalah:

Isolasi → Amankan bukti → Analisis → Reset → Reconfigure → Ganti credential

Sebelum melakukan reset, simpan terlebih dahulu log dan konfigurasi yang diperlukan untuk investigasi.

CERT Polska juga memperingatkan agar administrator tidak langsung mengembalikan backup konfigurasi secara membabi buta jika backup tersebut dibuat dari perangkat yang kemungkinan sudah dikompromikan.

Mengapa Router yang Diretas Sangat Berbahaya?

Kompromi terhadap satu komputer biasanya berdampak pada satu endpoint.

Namun router berada di posisi yang berbeda.

Router merupakan salah satu pintu utama menuju jaringan.

Jika attacker menguasai router, mereka berpotensi melakukan berbagai aktivitas berbahaya, misalnya:

• mengubah firewall;
• mengubah DNS;
• mengubah NAT;
• membuat tunnel;
• melakukan pemantauan terhadap jaringan;
• mengarahkan traffic;
• melakukan reconnaissance;
• mencoba menyerang perangkat lain di jaringan internal.

Karena itu, kompromi router harus dianggap sebagai masalah keamanan jaringan, bukan hanya masalah satu perangkat.

Pelajaran Penting untuk Administrator Jaringan

Kasus MikroTik ini memberikan satu pelajaran sederhana:

Jangan menganggap router sebagai perangkat yang cukup dikonfigurasi sekali lalu dibiarkan bertahun-tahun.

Router juga membutuhkan:

• patch management;
• vulnerability management;
• monitoring;
• centralized logging;
• asset inventory;
• access control;
• incident response.

Administrator sebaiknya mengetahui dengan jelas:

Berapa banyak router yang dimiliki?

Versi RouterOS apa yang digunakan?

Mana yang memiliki public IP?

Apakah SSH atau WebFig terbuka ke internet?

Siapa yang memiliki akses administrator?

Pertanyaan sederhana tersebut dapat membantu organisasi mengurangi risiko.

Checklist Keamanan MikroTik

Administrator dapat menggunakan checklist berikut:

[ ] RouterOS sudah diperbarui
[ ] SSH tidak terbuka bebas ke internet
[ ] WebFig tidak terbuka bebas ke internet
[ ] Bandwidth-test tidak terekspos
[ ] Tidak ada user asing
[ ] Tidak ada script asing
[ ] Tidak ada scheduler asing
[ ] Tidak ada konfigurasi firewall mencurigakan
[ ] Tidak ada perubahan DNS mencurigakan
[ ] Log sudah diperiksa
[ ] Status Flagged sudah diperiksa
[ ] Password dan credential telah diperbarui jika diperlukan

Bagaimana dengan Pengguna MikroTik di Indonesia?

Kasus ini sangat relevan bagi Indonesia.

MikroTik digunakan di berbagai lingkungan, mulai dari:

• ISP;
• kampus;
• sekolah;
• kantor;
• perusahaan;
• hotel;
• UMKM;
• pemerintah daerah;
• penyedia layanan internet lokal.

Artinya, administrator jaringan di Indonesia sebaiknya tidak menganggap masalah ini hanya sebagai isu keamanan di luar negeri.

Jika sebuah MikroTik memiliki SSH atau layanan management lain yang terbuka ke internet dan masih menggunakan versi RouterOS yang rentan, perangkat tersebut perlu segera diperiksa.

Kesimpulan

Kerentanan MikroTik RouterOS kali ini bukan sekadar vulnerability biasa.

CERT Polska telah mengonfirmasi adanya eksploitasi aktif terhadap perangkat yang dapat diakses melalui SSH dari internet. Dua kerentanan kritis yang dikenal sebagai rangkaian MikroTrick dapat digunakan untuk melewati autentikasi dan memperoleh hak administrator penuh.

Karena itu, administrator MikroTik sebaiknya tidak menunggu sampai router menunjukkan tanda-tanda kerusakan.

Lakukan empat langkah sederhana:

UPDATE → RESTRICT → AUDIT → MONITOR

Update RouterOS ke versi yang telah diperbaiki, batasi akses management dari internet, periksa apakah ada tanda kompromi, kemudian terus pantau perangkat.

Untuk administrator jaringan, satu hal yang perlu diingat:

Router bukan hanya perangkat untuk membagi koneksi internet. Router adalah salah satu pintu utama menuju seluruh jaringan.

Jika pintu tersebut memiliki celah, seluruh jaringan di belakangnya ikut berisiko.