6 Celah Keamanan RouterOS Ditemukan, Segera Update MikroTik Anda

RRI.CO.ID, Banyumas - MikroTik merilis pembaruan keamanan untuk RouterOS setelah menemukan sejumlah kerentanan yang dapat memungkinkan penyerang mengambil alih perangkat mikrotik dalam kondisi tertentu. Pembaruan tersebut dirilis pada 3 September 2026, mencakup beberapa patch di RouterOS v7 dan RouterOS v6.

Konfirmasi bahwa celah tersebut telah dieksploitasi secara aktif datang dari CERT Polska pada 5 September 2026. Serangan teramati terhadap perangkat yang menyediakan akses SSH dari internet. Dalam laporannya, CERT Polska menyebut terdapat enam kerentanan yang berkaitan dengan RouterOS. Dua di antaranya dapat dirangkai sehingga penyerang dapat melewati autentikasi SSH dan kemudian memperoleh hak administrator penuh.

Celah Kritis pada Autentikasi SSH

Salah satu kerentanan paling serius adalah CVE-2026-67276 dengan skor CVSS 9.2 yang artinya sangat rentan. Masalah tersebut berada pada proses pemeriksaan kunci publik RSA ketika pengguna melakukan autentikasi melalui SSH.

RouterOS tidak membandingkan seluruh komponen kunci publik sebagaimana mestinya. Dalam kondisi tertentu, penyerang yang telah mengetahui informasi tertentu dari kunci publik dan username dapat membuat kunci lain yang tetap diterima oleh proses autentikasi.

Kerentanan berikutnya, CVE-2026-86060, juga memiliki skor CVSS 9.2. Celah ini berada pada pemrosesan username SSH dan dapat menyebabkan perubahan policy sesi sehingga hak akses dapat meningkat menjadi administrator.

Dengan kombinasi kedua kerentanan tersebut memungkinkan pengambilalihan perangkat tanpa perlu memperoleh private key asli dari pengguna yang sah.

Detail Eksploitasi Yang Sudah Diamati

CERT Polska menyatakan eksploitasi terhadap perangkat RouterOS yang dapat diakses dari internet telah diamati sejak 2 September 2026. Salah satu rangkaian serangan yang dibahas dalam laporan keamanan tersebut kemudian dikenal dengan nama MikroTrick.

CERT Polska juga mencatat beberapa indikator yang dapat membantu administrator memeriksa perangkat. Salah satunya adalah keberadaan akun dengan nama ops yang memiliki hak akses tinggi pada perangkat yang telah terkompromi.

Selain CVE-2026-67276 dan CVE-2026-86060, CERT Polska mengidentifikasi empat kerentanan lain.

CVE-2026-67277 memiliki skor CVSS 8.8 dan berkaitan dengan layanan bandwidth-test. Eksploitasi terhadap celah ini dapat menyebabkan pengungkapan data dari memori kernel atau membuat perangkat mengalami gangguan dan restart.

Tiga kerentanan lainnya mencakup masalah pada SSH, validasi sertifikat X.509, serta WebFig/jsproxy. Salah satunya, CVE-2026-67281, dapat memungkinkan pembacaan file secara tidak sah melalui WebFig/jsproxy.

Segera Cek Perangkat Anda

Sebagai Administrator dapat memeriksa beberapa indikator kompromi, antara lain akun dengan hak tinggi yang tidak dikenal seperti ops, serta aktivitas SSH yang tidak biasa:

login failure for user -2 from via ssh

user added by ssh:-2@

MikroTik juga menyediakan pemeriksaan Device Mode:

/system/device-mode/print

Jika muncul: flagged: yes perangkat perlu diperiksa lebih lanjut. Namun, tidak adanya status tersebut tidak berarti perangkat pasti aman.

Update, Mitigasi, dan Penanganan

MikroTik menyediakan perbaikan keamanan untuk beberapa versi RouterOS berikut:

• RouterOS 7.24.2 Stable,

• RouterOS 7.23.4 Long-term,

• RouterOS 6.49.21 Long-term,

• dan RouterOS 7.25 beta 3 Development

Setelah melakukan update, sebagai administrator sebaiknya memastikan SSH dan layanan manajemen lain tidak terbuka bebas ke internet. Jika akses jarak jauh diperlukan, batasi sumber akses atau gunakan VPN seperti WireGuard ataupun metode lainnya.

Segera lakukan pengecekan dan penanganan dapat dilakukan dengan urutan berikut:

1. Update RouterOS ke versi yang telah diperbaiki.

2. Batasi akses SSH, WebFig, API, dan layanan manajemen lain dari internet.

3. Periksa Device Mode melalui /system/device-mode/print.

4. Periksa user, script, dan konfigurasi untuk mencari perubahan yang tidak dibuat administrator.

5. Periksa log SSH dan indikator lainnya.

6. Jika tidak ditemukan indikasi, lanjutkan pemantauan dan pastikan akses manajemen tetap dibatasi.

7. Jika ditemukan indikasi perangkat telah disusupi, isolasi perangkat terlebih dahulu dan amankan log serta konfigurasi untuk investigasi.

8. Setelah pemeriksaan menyeluruh, perangkat yang terindikasi walaupun sudah dicek aman sebaiknya tetap di-reset dan dikonfigurasi ulang dari konfigurasi yang telah diverifikasi bersih. Password, SSH key, token, VPN key, dan credential lain yang mungkin terekspos juga perlu diganti.

Memperbarui RouterOS tetap menjadi langkah utama, tetapi update tidak otomatis membersihkan perangkat.