Router MikroTik Diserang: Cek Punya Anda Hari Ini

Router MikroTik Diserang: Cek Punya Anda Hari Ini

Sejak 2 September 2026, router MikroTik yang bisa diakses dari internet mulai dibajak — sehari sebelum MikroTik merilis perbaikannya. Rangkaian serangan yang dinamai MikroTrick tidak butuh password dan berakhir di akses admin penuh. Indonesia punya 7.100 unit terpapar. Naikkan ke 7.24.2, 7.23.4, atau 6.49.21, lalu periksa jejak pembobolan.

Apa yang sebenarnya terjadi?

MikroTik menerbitkan RouterOS versi perbaikan pada 3 September 2026 — 7.25 beta 3, 7.24.2, 7.23.4, dan 6.49.21 — dengan catatan singkat: sebagian besar konfigurasi katanya aman. Dua hari kemudian CERT Polandia membuka enam celah sekaligus dan memastikan dua di antaranya sudah dipakai menyerang perangkat nyata sejak 2 September. Patch-nya terlambat datang ke daruratnya sendiri.

Dua celah kebagian skor 9,2 dari 10 di CVSS — skala baku industri untuk mengukur seberapa parah sebuah celah:

• CVE-2026-67276 menjebol login SSH. SSH itu jalur baris perintah jarak jauh yang dipakai admin untuk mengatur router tanpa harus datang ke ruangannya.
• CVE-2026-86060 mengangkat sesi terbatas jadi sesi admin penuh — naik pangkat paksa, istilah kerennya privilege escalation.

Satu lagi, CVE-2026-67277 (8,8), ada di layanan bandwidth-test — fitur uji kecepatan bawaan yang di banyak build RouterOS memang hidup dari sananya. Layanan ini membocorkan isi memori mentah dan bisa dibikin tumbang dari jarak jauh.

Syarat serangannya cuma satu, dan justru bagian ini yang menentukan: SSH-nya bisa dihubungi dari internet publik.

Kenapa Indonesia kena lebih keras?

Karena perangkatnya banyak dan letaknya di mana-mana. Per 5 September 2026, Shadowserver Foundation menghitung 122.500 perangkat MikroTik dengan SSH terbuka ke internet: Brasil 11.300, Amerika Serikat 7.100, Indonesia 7.100, Ceko 6.300, Ukraina 5.100. Indonesia sendiri pasar terbesar ketiga MikroTik berdasarkan jumlah pelanggan bisnis yang terlacak, cuma kalah dari Brasil dan Amerika.

Angka itu bukan trivia. Di sini MikroTik adalah jawaban default: RT/RW net di gang sebelah, WiFi tamu hotel, kos-kosan, koneksi kantor pabrik kecil, dan router site di depan hampir setiap IoT gateway yang saya tangani. Satu vendor, satu sistem operasi, satu pengumuman. Ribuan gedung dengan isi yang sama persis.

Router juga perangkat yang paling mahal kalau sampai jatuh. Dia melihat semua lalu lintas di gedung, memegang kunci VPN ke kantor pusat, dan log-nya tidak pernah dibaca siapa pun. Penyerang yang sudah pegang router tidak perlu membobol apa-apa lagi. Yang dilaporkan CERT persis begitu: akun baru, kunci SSH tambahan, aturan firewall diubah, lalu proxy dan tunnel baru — saluran diam-diam supaya lalu lintas orang lain numpang lewat jaringan Anda.

Ada satu kebiasaan lokal yang bikin angka 7.100 itu masuk akal. Saat instalasi, SSH dibuka ke publik "sementara" — biar teknisi vendor gampang masuk dari luar. Lalu proyeknya selesai, teknisinya pindah, dan kata "sementara" tinggal jadi baris konfigurasi yang tidak pernah dicabut.

Bagaimana cara kerja serangannya?

Bayangkan login SSH pakai kunci itu seperti satpam yang mencocokkan kunci Anda dengan salinan kunci di mejanya. Kunci RSA punya dua bagian yang memang terbuka: satu angka sangat panjang bernama modulus, dan satu angka kecil bernama eksponen. RouterOS mencocokkan jenis kunci dan modulusnya, lalu berhenti. Eksponennya tidak pernah dicek. Datang dengan modulus yang benar dan eksponen bernilai 1, satpamnya mempersilakan masuk sebagai user itu — padahal kunci aslinya tidak pernah ada di tangan penyerang.

Celah kedua lebih aneh, dan dari sinilah jejak yang sekarang dicari semua orang berasal. RouterOS salah menangani username yang diawali karakter terlarang. Masuk dengan nama pengguna -2, dan alur login membacanya bukan sebagai nama, melainkan sebagai perintah tambahan — yang lalu menggeser hak akses sesinya. Akses terbatas berubah jadi akses admin.

Sendiri-sendiri, dua celah ini tidak menakutkan. Digabung, hasilnya pengambilalihan penuh tanpa satu pun kredensial. Itu sebabnya dua-duanya dinilai 9,2.

Apa yang harus dicek sekarang?

Baca dulu, ubah belakangan. Kalau ternyata perangkatnya sudah dibobol, Anda butuh buktinya utuh sebelum tangan mulai mengetik. Perintah di bawah pakai gaya RouterOS 7; di 6.x, buang garis miringnya (/system resource print).

1. Versi. Di bawah 7.24.2, 7.23.4, atau 6.49.21 berarti rentan.

/system/resource/print

2. SSH-nya benar-benar terbuka atau tidak. Kolom address itu daftar alamat yang diizinkan. Kosong artinya seluruh internet boleh mengetuk.

/ip/service/print

3. Penanda pembobolan. RouterOS 7 versi perbaikan mendeteksi perubahan konfigurasi yang tidak sah saat perangkat menyala, mematikannya, lalu menaikkan status Flagged.

/system/device-mode/print

4. User yang bukan Anda yang bikin. Akun dengan hak tinggi bernama ops sudah dipastikan muncul di serangan yang berjalan.

/user/print /user/ssh-keys/print

5. Jejak -2 di log dan riwayat. Cari login gagal atas nama pengguna -2, atau baris riwayat berbunyi added by ssh:-2@<ip>.

/log/print where message~"-2" /system/history/print

6. Titipan yang ditinggal penyerang. Script dan scheduler — penjadwal bawaan RouterOS, sepupunya cron — menjalankan perintah sendiri tanpa diminta. Proxy SOCKS dan tunnel membawa lalu lintas orang lain lewat koneksi Anda.

/system/script/print /system/scheduler/print /ip/socks/print /interface/print

Dua alamat penyerang yang terpantau di kampanye ini — 82.192.72.4 dan 103.102.31.18 — boleh ikut dicari di log. Tapi anggap bonus saja. Tidak ketemu bukan berarti aman.

Setelah itu baru tutup pintunya. Batasi SSH ke jaringan manajemen, dan matikan uji kecepatan yang hampir pasti tidak pernah Anda pakai:

/ip/service/set ssh address=10.0.0.0/8 /ip/service/set www,www-ssl disabled=yes /tool/bandwidth-server/set enabled=no

Apakah cukup dengan update?

Tidak. Dan di titik inilah kerugian paling banyak akan terjadi sebulan ke depan.

Naik versi menutup lubangnya. Naik versi tidak menghapus akun, kunci, entri scheduler, atau tunnel yang sempat ditanam selagi lubangnya terbuka. Semua itu konfigurasi, dan konfigurasi memang dirancang untuk selamat dari proses update. Perangkat yang dibobol tanggal 3 lalu di-update tanggal 8 statusnya jelas: sudah ditambal, tetap kebobolan.

Penanda Flagged membantu, tapi CERT tegas soal batasnya: tidak adanya penanda bukan jaminan perangkat bersih. Log berputar dan tertimpa. Penyerang juga rajin membersihkan jejaknya.

Jadi aturannya membosankan dan tidak populer. Begitu ketemu satu saja jejak — user asing, baris -2, entri scheduler yang tidak ada yang mengaku bikin — jangan dibersihkan satu per satu. Isolasi perangkatnya, simpan log dan konfigurasinya sebagai barang bukti, reset ke setelan pabrik, bangun ulang dari konfigurasi yang Anda percayai, lalu ganti semua password, kunci SSH, secret VPN, dan secret RADIUS yang pernah tersimpan di sana. Sampai 6 September, CERT Latvia memastikan 12 perangkat kebobolan dari beberapa ribu yang terpapar di sana. Rasionya kecil. Tapi harga salah tebak untuk satu unit adalah seluruh jaringan di belakangnya.

Satu jebakan terakhir: memulihkan dari backup tadi malam bukan membangun ulang kalau backup-nya sudah memuat akun bikinan penyerang. Buka file export-nya, baca, jangan langsung restore.

Supaya kejadian berikutnya cuma jadi kerjaan sore

Pasti akan ada pengumuman berikutnya. Yang bisa Anda tentukan cuma satu: apakah pengumuman itu memakan satu sore, atau satu akhir pekan.

Sisi manajemen jangan menghadap internet. SSH, Winbox, dan halaman webnya tempatnya di balik VPN, bukan di port terbuka. Saran MikroTik sendiri di advisory ini juga begitu: masuk lewat WireGuard. Satu kebiasaan ini saja sudah cukup membuat 7.100 perangkat di Indonesia tidak masuk hitungan korban.

Tahu persis apa yang Anda punya. Model, versi RouterOS, lokasi, dan siapa pemegang password-nya — untuk setiap site. Kebanyakan operator yang saya temui butuh sehari penuh cuma untuk menjawab "ada berapa router yang masih di bawah 7.23.4", dan jawaban itu sebenarnya adalah waktu tanggap mereka. Kelas perangkat lain jatuh dengan pola yang sama: kamera CCTV gagal karena alasan yang persis serupa.

Awasi perangkat yang sudah Anda punya. Router yang tiba-tiba kedatangan akun baru jam tiga pagi seharusnya membangunkan seseorang. Alert untuk perubahan konfigurasi di perangkat jaringan biayanya nyaris nol, dan itulah beda antara lima hari tunnel diam-diam dan respons malam itu juga — versi mininya ada di tulisan soal monitoring sistem kecil.

Berlangganan halaman advisory vendornya. MikroTik posting 3 September. Detail teknis eksploitasinya terbit 5 September. Jarak 48 jam itulah jatah waktu yang diberikan ke operator — dan jatah itu cuma berguna buat yang membacanya.

Bagian paling tidak enak dari insiden ini bukan celahnya. Celahnya sudah dipakai sebelum patch-nya ada, artinya secepat apa pun Anda menambal, router dengan SSH menghadap internet tetap kena. Yang menyelamatkan perangkat justru keputusan berbulan-bulan sebelumnya, di hari yang tenang, soal port mana saja yang boleh menghadap keluar. Keputusan itu masih terbuka hari ini.