Router MikroTik Diserang: Cek Punya Anda Hari Ini

Sejak 2 September 2026, router MikroTik yang bisa diakses dari internet mulai dibajak — sehari sebelum MikroTik merilis perbaikannya. Rangkaian serangan yang dinamai MikroTrick tidak butuh password dan berakhir di akses admin penuh. Laporan September mencatat 7.100 perangkat terpapar di Indonesia. Perbarui ke versi perbaikan terkini, lalu periksa jejak pembobolan. Koreksi Oktober di bawah tetap berlaku meskipun perangkat sudah diperbarui pada September.

Apa yang sebenarnya terjadi?

MikroTik menerbitkan RouterOS versi perbaikan pada 3 September 2026 — 7.25 beta 3, 7.24.2, 7.23.4, dan 6.49.21 — dengan catatan singkat: sebagian besar konfigurasi katanya aman. Dua hari kemudian CERT Polandia membuka enam celah sekaligus dan memastikan dua di antaranya sudah dipakai menyerang perangkat nyata sejak 2 September. Serangan sudah berjalan sebelum perbaikan tersedia.

Dua celah mendapat skor 9,2 dari 10 pada CVSS, skala baku untuk menilai tingkat keparahan kerentanan:

• CVE-2026-67276 menjebol login SSH. SSH itu jalur baris perintah jarak jauh yang dipakai admin untuk mengatur router tanpa harus datang ke ruangannya.
• CVE-2026-86060 mengangkat sesi terbatas jadi sesi admin penuh — naik pangkat paksa, istilah kerennya privilege escalation.

Satu lagi, CVE-2026-67277 (8,8), ada di layanan bandwidth-pengujian — fitur uji kecepatan bawaan yang di banyak build RouterOS memang hidup dari sananya. Layanan ini membocorkan isi memori mentah dan bisa dibikin tumbang dari jarak jauh.

SSH yang dapat dijangkau dari internet membuka jalur serangan. Untuk pelolosan autentikasi RSA yang dibahas di bawah, CERT Polska juga menyebut pengetahuan tentang nama pengguna dan modulus publik kunci yang terdaftar sebagai syarat. Advisori Oktober MikroTik mencatat CVE-2026-67279 secara terpisah sebagai celah eksekusi perintah SSH yang terlihat dipakai dalam serangan; mekanisme setiap celah tidak boleh disamakan.

Mengapa Indonesia kena lebih keras?

Karena perangkatnya banyak dan letaknya di mana-mana. Per 5 September 2026, Shadowserver Foundation menghitung 122.500 perangkat MikroTik dengan SSH terbuka ke internet: Brasil 11.300, Amerika Serikat 7.100, Indonesia 7.100, Ceko 6.300, Ukraina 5.100. Indonesia sendiri pasar terbesar ketiga MikroTik berdasarkan jumlah pelanggan bisnis yang terlacak, hanya kalah dari Brasil dan Amerika.

Paparan ini relevan karena MikroTik banyak dipakai pada jaringan lingkungan, WiFi tamu hotel, indekos, kantor, pabrik kecil, dan lokasi gateway IoT yang saya tangani. Kesamaan sistem operasi membuat satu advisori keamanan perlu ditindaklanjuti pada banyak lokasi.

Router mengatur lalu lintas gedung dan dapat menyimpan akses VPN ke kantor pusat. Jika diambil alih, perangkat ini menjadi jalur untuk penyalahgunaan jaringan. CERT melaporkan penambahan akun dan kunci SSH, perubahan aturan firewall, serta pembuatan proxy dan tunnel yang membawa lalu lintas pihak lain.

Ada satu kebiasaan lokal yang membuat angka 7.100 itu masuk akal. Saat instalasi, SSH dibuka ke publik "sementara" — agar teknisi vendor gampang masuk dari luar. Lalu proyeknya selesai, teknisinya pindah, dan kata "sementara" tinggal jadi baris konfigurasi yang tidak pernah dicabut.

Bagaimana cara kerja serangannya?

Bayangkan login SSH menggunakan kunci itu seperti satpam yang mencocokkan kunci Anda dengan salinan kunci di mejanya. Kunci RSA punya dua bagian yang memang terbuka: satu angka sangat panjang bernama modulus, dan satu angka kecil bernama eksponen. RouterOS mencocokkan jenis kunci dan modulusnya, lalu berhenti. Eksponennya tidak pernah dicek. Datang dengan modulus yang benar dan eksponen bernilai 1, satpamnya mempersilakan masuk sebagai pengguna itu — padahal kunci aslinya tidak pernah ada di tangan penyerang.

Celah kedua lebih aneh, dan dari sinilah jejak yang sekarang dicari semua orang berasal. RouterOS salah menangani username yang diawali karakter terlarang. Masuk dengan nama pengguna -2, dan alur login membacanya bukan sebagai nama, melainkan sebagai perintah tambahan — yang lalu menggeser hak akses sesinya. Akses terbatas berubah jadi akses admin.

Rangkaian dua celah ini memungkinkan akses administrator tanpa kredensial yang semestinya. Penilaian risikonya perlu memperhatikan seluruh rantai serangan, bukan hanya masing-masing langkah.

Apa yang harus dicek sekarang?

Baca dulu, ubah belakangan. Kalau ternyata perangkatnya sudah dibobol, Anda butuh buktinya utuh sebelum tangan mulai mengetik. Perintah di bawah menggunakan gaya RouterOS 7; di 6.x, buang garis miringnya (/system resource print).

1. Versi. Cocokkan cabang rilis dengan advisori. Versi perbaikan September adalah 7.24.2, 7.23.4, dan 6.49.21. Dalam pembaruan 6 Oktober 2026, MikroTik menyatakan perbaikan CVE-2026-67278 belum lengkap pada 7.24.2 dan 7.23.4. Gunakan 7.24.3 (stable), 7.23.6 (long-term), atau rilis perbaikan yang lebih baru. RouterOS 6 tidak terdampak oleh celah khusus itu.

/system/resource/print

2. SSH-nya benar-benar terbuka atau tidak. Kolom address itu daftar alamat yang diizinkan. Nilai kosong berarti layanan tidak dibatasi daftar itu; akses dari internet tetap bergantung pada aturan firewall dan rute jaringan.

/ip/service/print

3. Penanda pembobolan. RouterOS 7 versi perbaikan memeriksa sebagian tanda perubahan konfigurasi tidak sah saat perangkat menyala, menonaktifkan entri mencurigakan yang dikenali, lalu menaikkan status Flagged.

/system/device-mode/print

4. Akun pengguna yang tidak Anda buat. Akun dengan hak tinggi bernama ops sudah dipastikan muncul di serangan yang berjalan.

/user/print
/user/ssh-keys/print

5. Jejak -2 di log dan riwayat. Cari login gagal atas nama pengguna -2, atau baris riwayat berbunyi added by ssh:-2@<ip>.

/log/print where message~"-2"
/system/history/print

6. Titipan yang ditinggal penyerang. Script dan scheduler — penjadwal bawaan RouterOS, sepupunya cron — menjalankan perintah sendiri tanpa diminta. Proxy SOCKS dan tunnel membawa lalu lintas orang lain lewat koneksi Anda.

/system/script/print
/system/scheduler/print
/ip/socks/print
/interface/print

Cari juga alamat 82.192.72.4 dan 103.102.31.18 yang terpantau pada kampanye ini. Tidak adanya kedua alamat tersebut dalam log belum membuktikan perangkat bersih.

Batasi SSH ke jaringan manajemen yang benar-benar dipercaya dan matikan layanan yang tidak digunakan. Subnet berikut hanya contoh; periksa jalur pengelolaan sebelum menerapkannya agar akses Anda sendiri tidak terputus:

/ip/service/set ssh address=10.0.0.0/8
/ip/service/set www,www-ssl disabled=yes
/tool/bandwidth-server/set enabled=no

Apakah cukup dengan pembaruan?

Pembaruan perlu disertai pemeriksaan serta pemulihan jika terdapat tanda pengambilalihan.

Pembaruan RouterOS menutup kerentanan, tetapi tidak otomatis menghapus akun, kunci, jadwal, atau tunnel yang ditambahkan penyerang. Konfigurasi tersebut dapat bertahan setelah versi dinaikkan. Perangkat yang diserang pada tanggal 3 dan diperbarui tanggal 8 masih memerlukan penanganan insiden.

Penanda Flagged membantu, tetapi CERT tegas soal batasnya: tidak adanya penanda bukan jaminan perangkat bersih. Log berputar dan tertimpa. Penyerang juga rajin membersihkan jejaknya.

Jadi aturannya membosankan dan tidak populer. Begitu ketemu satu saja jejak — pengguna asing, baris -2, entri scheduler yang tidak ada yang mengaku membuat — jangan dibersihkan satu per satu. Isolasi perangkatnya, simpan log dan konfigurasinya sebagai barang bukti, reset ke setelan pabrik, bangun ulang dari konfigurasi yang Anda percayai, lalu ganti semua password, kunci SSH, secret VPN, dan secret RADIUS yang pernah tersimpan di sana. Sampai 6 September, CERT Latvia memastikan 12 perangkat kebobolan dari beberapa ribu yang terpapar di sana. Rasionya kecil. Namun harga salah tebak untuk satu perangkat adalah seluruh jaringan di belakangnya.

Satu jebakan terakhir: memulihkan dari pencadangan tadi malam bukan membangun ulang kalau backup-nya sudah memuat akun bikinan penyerang. Buka berkas export-nya, baca, jangan langsung dipulihkan.

Menyiapkan inventaris dan prosedur respons

Siapkan prosedur untuk menindaklanjuti advisori berikutnya. Inventaris perangkat dan pembatasan akses manajemen memperpendek waktu pemeriksaan serta mengurangi paparan.

Sisi manajemen jangan menghadap internet. SSH, Winbox, dan halaman webnya tempatnya di balik VPN, bukan di port terbuka. Saran MikroTik sendiri di advisory ini juga begitu: masuk lewat WireGuard. Pembatasan ini mengurangi paparan jalur SSH, tetapi tidak menggantikan pembaruan keamanan.

Tahu persis apa yang Anda punya. Model, versi RouterOS, lokasi, dan siapa pemegang password-nya — untuk setiap site. Kebanyakan operator yang saya temui butuh sehari penuh hanya untuk menjawab "ada berapa router yang masih di bawah 7.23.4", dan jawaban itu sebenarnya adalah waktu tanggap mereka. Kelas perangkat lain jatuh dengan pola yang sama: kamera CCTV gagal karena alasan yang persis serupa.

Awasi perangkat yang sudah Anda punya. Router yang tiba-tiba kedatangan akun baru jam tiga pagi seharusnya membangunkan seseorang. Peringatan untuk perubahan konfigurasi di perangkat jaringan biayanya nyaris nol, dan itulah beda antara lima hari tunnel diam-diam dan respons malam itu juga — versi mininya ada di tulisan soal pemantauan sistem kecil.

Berlangganan halaman advisory vendornya. MikroTik posting 3 September. Detail teknis eksploitasinya terbit 5 September. Jarak 48 jam itulah jatah waktu yang diberikan ke operator — dan jatah itu hanya berguna buat yang membacanya.

Serangan yang berjalan sebelum perbaikan tersedia menunjukkan pentingnya pembatasan akses manajemen. Pembaruan cepat tetap diperlukan, tetapi akses SSH publik dapat membuka paparan sebelum tim sempat memperbarui perangkat. Tinjau port yang terbuka dan batasi pengelolaan router melalui jaringan yang dipercaya.