Penyerang Membajak Router MikroTik Melalui SSH yang Terbuka ke Internet Tanpa Autentikasi

Router MikroTik Dieksploitasi Melalui SSH

Penyerang dilaporkan sedang mengeksploitasi router MikroTik yang memiliki layanan Secure Shell (SSH) terbuka dan dapat diakses dari internet. Serangan tersebut memungkinkan penyerang mendapatkan kendali administratif tanpa autentikasi.

CERT Polska menerbitkan peringatan terkait serangan ini pada 5 September 2026. Serangan yang berhasil diketahui telah terjadi setidaknya sejak 2 September. Hingga saat ini belum diketahui jumlah korban maupun identitas penyerang.

RouterOS yang Terdampak

MikroTik telah menyediakan pembaruan keamanan untuk mengatasi masalah tersebut. CERT Polska menyatakan bahwa pembaruan ini dapat mencegah serangan yang telah diamati.

Rentang versi yang terdampak meliputi RouterOS 6.0.0 hingga sebelum 6.49.21, RouterOS 7.0.0 hingga sebelum 7.23.4, serta RouterOS 7.24 hingga sebelum 7.24.2.

Perbaikan tersedia pada RouterOS 6.49.21, 7.23.4, dan 7.24.2. Untuk kanal long-term, pengguna disarankan menggunakan RouterOS 7.23.5.

Batasi Layanan yang Terbuka ke Internet

Sebelum pembaruan dapat dilakukan, CERT merekomendasikan untuk menonaktifkan layanan yang terekspos atau membatasi aksesnya hanya ke jaringan manajemen yang dipercaya.

Layanan yang perlu diperhatikan khususnya adalah SSH, WWW/WWW-SSL, dan bandwidth-test.

CERT juga menyarankan agar perangkat yang belum diperbarui tidak digunakan untuk melakukan koneksi TLS atau menggunakan SSH client bawaan RouterOS. Langkah tersebut hanya bersifat sementara dan tidak menggantikan pembaruan keamanan.

Periksa Apakah Router Telah Dikompromikan

Setelah melakukan pembaruan, administrator disarankan memeriksa log dan konfigurasi router untuk mencari perubahan yang tidak dikenal.

RouterOS dapat menunjukkan status tertentu apabila pemeriksaan saat startup menemukan konfigurasi yang mencurigakan. Status tersebut dapat diperiksa menggunakan perintah /system/device-mode/print.

Selain itu, periksa keberadaan pengguna, script, serta perubahan konfigurasi yang tidak dikenal. CERT juga menyebut akun dengan hak akses tinggi yang tidak terduga dan log pembuatan akun yang mengandung ssh:-2@ sebagai indikator yang perlu diperiksa.

Langkah Pemulihan Jika Terkompromikan

Jika terdapat indikasi bahwa router telah disusupi, CERT merekomendasikan untuk mengisolasi perangkat dari jaringan dan menyimpan log serta konfigurasi sebelum melakukan reset.

Setelah itu, lakukan factory reset dan bangun kembali konfigurasi menggunakan konfigurasi yang telah dipercaya dan diverifikasi. Jangan langsung memulihkan backup penuh dari perangkat yang berpotensi telah dikompromikan.

Password, key, dan kredensial lain yang digunakan juga harus diganti.

Status Zero-Day Belum Dapat Dipastikan

CERT menyebut kombinasi dua kelemahan yang digunakan dalam serangan ini sebagai MikroTrick. Namun, informasi yang tersedia belum menjelaskan secara spesifik dua kerentanan tersebut maupun bagaimana keduanya digunakan bersama untuk mendapatkan akses administrator.

Catatan rilis RouterOS 7.25beta3 memiliki tanggal perubahan 2 September, sementara pengumuman pembaruan awal dilakukan pada 3 September. Namun, tanggal tersebut belum cukup untuk memastikan apakah patch telah tersedia sebelum serangan dimulai. Karena itu, status zero-day masih belum dapat dipastikan.