MikroTik RouterOS Diserang: Cek Versi, Update, dan Tutup SSH

Dua rangkaian celah di MikroTik RouterOS menjadi perhatian dalam dua bulan terakhir. Yang pertama, rantai bernama MikroTrick, sudah dieksploitasi terhadap router yang layanan SSH-nya terbuka ke internet. Yang kedua, CVE-2026-84411, memungkinkan penyerang tanpa login mengeksekusi kode lewat antarmuka web router dan, per laporan terakhir yang saya baca, belum diketahui dieksploitasi. Keduanya bisa dipersempit dengan dua hal yang sama: update RouterOS, dan jangan biarkan layanan pengelolaan router terbuka ke internet.

Artikel ini memandu langkah demi langkah: cek versi, backup, update, menutup layanan yang tidak perlu, dan memeriksa tanda router sudah dibobol.

Diuji pada: RB750Gr3, RouterOS v7.16 stable (belum up to date), 5 November 2026

Backup dulu, dan siapkan akses langsung ke router. Mengubah firewall atau layanan lewat koneksi jarak jauh bisa mengunci Anda dari router sendiri. Lakukan saat bisa mengakses router secara fisik, dan gunakan Safe Mode (bagian Langkah 5).

Ringkasnya: (1) cek versi dengan /system resource print; (2) backup; (3) update ke rilis terbaru di kanal stable atau long-term; (4) matikan atau batasi SSH, WebFig, dan bandwidth-test dari luar; (5) periksa log dan akun pengguna untuk tanda penyusupan.

Apa yang terjadi

MikroTrick: dua celah yang dirangkai

CERT Polska, tim tanggap insiden siber Polandia, memperingatkan bahwa dua celah dirangkai untuk mengambil alih router yang SSH-nya terjangkau dari internet. Menurut laporan BleepingComputer tanggal 7 September 2026:

• CVE-2026-67276: kelemahan otentikasi SSH karena validasi kunci publik RSA tidak lengkap. Penyerang yang tahu nama pengguna dan modulus publik kuncinya bisa membuat kunci lain dan masuk tanpa kunci privat yang sah.
• CVE-2026-86060: eskalasi hak akses SSH lewat penanganan nama pengguna yang dibuat khusus, sehingga penyerang memperoleh hak administrator penuh.
• CVE-2026-67277: celah ketiga di layanan bandwidth-test yang memungkinkan penyerang tanpa login membocorkan memori kernel atau membuat router crash atau restart.

MikroTik memperbaikinya pada 3 September 2026 di RouterOS 7.25beta3, 7.24.2, 7.23.4, dan 6.49.21. Pada 5 September, Shadowserver mencatat sekitar 122.500 perangkat MikroTik dengan SSH terbuka ke internet.

CVE-2026-84411: celah pada antarmuka web

Celah ini berupa integer underflow pada penanganan permintaan HTTP layanan manajemen web, yang bisa dicapai sebelum login. Menurut CISA (ICSA-26-272-06), satu permintaan yang dibuat khusus dapat menghasilkan eksekusi kode dengan hak root atau denial of service. Saat BleepingComputer menulis pada 30 September, CISA belum mengetahui adanya eksploitasi aktif.

Perhatikan perbedaan sumber: CISA menyebut versi di bawah 7.24 terdampak, sedangkan rekomendasi vendor yang dikutip menyebut update ke 7.23 atau lebih baru. BleepingComputer saat itu belum mendapat klarifikasi, dan MikroTik belum menerbitkan advisori. Cek advisori MikroTik terbaru sebelum menyimpulkan.

Langkah 1: cek versi RouterOS

/system resource print
/system routerboard print

Perintah pertama menampilkan version (versi RouterOS) dan board-name. Yang kedua menampilkan firmware RouterBOARD. Di WinBox: menu System, Resources.

Cabang	Perbaikan MikroTrick (3 Sep 2026)
7.25 beta	7.25beta3
7.24	7.24.2
7.23 (long-term)	7.23.4
6.x	6.49.21

Untuk CVE-2026-84411, CISA menyebut batas 7.24. Cara paling aman adalah memasang rilis terbaru di kanal stable atau long-term, karena rilis terbaru mencakup semua perbaikan di atas. Per pertengahan September, BleepingComputer melaporkan 7.24.4 (stable) dan 7.23.7 (long-term). Versi terbaru hari ini: [[ISI: cek di halaman unduhan MikroTik pada hari terbit]].

Langkah 2: lihat layanan apa yang terbuka

/ip service print
/ip firewall filter print where chain=input

Perintah pertama menampilkan layanan pengelolaan (telnet, ftp, www, ssh, www-ssl, api, winbox, api-ssl). Perhatikan kolom ADDRESS: bila kosong, layanan itu menerima koneksi dari alamat mana pun. Perintah kedua menampilkan aturan firewall untuk lalu lintas yang menuju router itu sendiri. Kalau tidak ada aturan yang menolak akses dari sisi WAN, layanan yang menyala bisa terjangkau dari internet.

Periksa dari luar dengan nmap dari jaringan lain, seperti di artikel cek port terbuka. Hanya pada router milik Anda sendiri.

Langkah 3: backup konfigurasi

/system backup save name=sebelum-update
/export file=sebelum-update

Perintah pertama membuat berkas backup biner; perintah kedua membuat ekspor konfigurasi berupa teks yang bisa dibaca. Unduh keduanya ke komputer Anda (WinBox: menu Files). Backup berisi data sensitif, jadi simpan di tempat aman.

Langkah 4: update RouterOS

/system package update set channel=stable
/system package update check-for-updates
/system package update print
/system package update install

Kanal bisa stable atau long-term. Perintah print menampilkan versi terbaru yang tersedia. Perintah install mengunduh dan memasang paket, lalu router memulai ulang. Di WinBox: System, Packages, Check For Updates, Download & Install.

Setelah router menyala kembali, perbarui juga firmware RouterBOARD, lalu mulai ulang sekali lagi:

/system routerboard upgrade
/system reboot

Cek hasilnya dengan /system resource print dan catat versi barunya.

Langkah 5: tutup layanan yang tidak perlu

Pembaruan menutup celah yang diketahui; menutup layanan menyempitkan sasaran untuk celah yang belum diketahui. Menurut rekomendasi CERT Polska, bila belum bisa update, batasi atau matikan SSH, WWW dan WWW-SSL, serta bandwidth-test yang terjangkau dari luar.

Gunakan Safe Mode agar tidak terkunci. Di WinBox ada tombol Safe Mode; di terminal tekan Ctrl+X. Jika koneksi terputus setelah sebuah perubahan, RouterOS membatalkan perubahan yang dibuat selama Safe Mode. Matikan Safe Mode setelah memastikan semuanya benar.

Matikan layanan yang tidak Anda pakai:

/ip service set telnet disabled=yes
/ip service set ftp disabled=yes
/ip service set www disabled=yes
/ip service set api disabled=yes
/ip service set api-ssl disabled=yes
/tool bandwidth-server set enabled=no

Untuk layanan yang Anda pakai, batasi alamat yang boleh mengaksesnya. Ganti 192.168.88.0/24 dengan jaringan LAN Anda (alamat itu hanyalah bawaan MikroTik):

/ip service set ssh address=192.168.88.0/24
/ip service set winbox address=192.168.88.0/24
/ip service set www-ssl address=192.168.88.0/24

Pastikan juga firewall menolak akses ke router dari luar LAN. Konfigurasi bawaan MikroTik biasanya sudah memiliki aturan "drop all not coming from LAN", tetapi pengaturan yang sudah diubah (misalnya untuk jaringan RT/RW net atau kantor) bisa berbeda. Periksa dengan:

/ip firewall filter print where chain=input

Bila belum ada, tambahkan aturan penolakan setelah aturan yang menerima koneksi yang sudah ada (established, related). Urutan aturan menentukan hasilnya. Contoh aturannya:

/ip firewall filter add chain=input action=drop in-interface-list=!LAN comment="blokir akses ke router dari luar LAN"

Catatan: aturan ini ikut memblokir layanan di router yang memang Anda buka untuk umum (misalnya server VPN di router). Untuk layanan seperti itu, tambahkan aturan accept khusus di atasnya. Uji dengan Safe Mode menyala.

Opsional, bila interface list bernama LAN ada (konfigurasi bawaan), batasi juga penemuan perangkat dan MAC server ke LAN:

/ip neighbor discovery-settings set discover-interface-list=LAN
/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LAN

Kalau Anda perlu mengelola router dari luar rumah atau kantor, gunakan VPN ke jaringan lokal lalu kelola dari dalam, bukan membuka SSH atau WinBox ke internet.

Langkah 6: periksa tanda router sudah dibobol

CERT Polska membagikan indikator yang bisa Anda cocokkan. Ketiadaan tanda bukan jaminan aman, tetapi adanya tanda berarti Anda harus bertindak.

• Entri log berbentuk login failure for user -2 from <ip> via ssh dan user <nama> added by ssh:-2@<ip>.
• Akun dengan hak tinggi bernama ops yang tidak Anda buat.
• Alamat yang dikaitkan dengan serangan oleh CERT Polska: 82.192.72.4 (serangan yang berhasil) dan 103.102.31.18 (percobaan eksploitasi). Daftar seperti ini bisa berubah; jangan menjadikannya satu-satunya pemeriksaan.

/log print where message~"ssh:-2"
/log print where message~"user -2"
/user print
/user active print

Periksa juga hal-hal yang biasa diubah penyerang setelah masuk:

/system scheduler print
/system script print
/ip firewall nat print
/ip socks print
/ip dns print
/file print

Cari yang tidak Anda kenal: jadwal atau skrip aneh, aturan NAT yang mengalihkan lalu lintas, proxy SOCKS yang menyala, server DNS yang bukan milik Anda, atau berkas yang tidak Anda buat.

Menurut MikroTik, versi yang sudah diperbaiki menambah mekanisme pendeteksi kompromi: saat startup, router mencari tanda perubahan konfigurasi yang tidak sah, menonaktifkan entri berbahaya, dan mencatat peringatan kritis. Setelah update, lihat log:

/log print where topics~"critical"

Dokumentasi MikroTik menyebut status flagged pada device-mode untuk kondisi ini (lihat tautan di bagian Sumber).

Kalau Anda curiga router sudah dibobol

CERT Polska menyarankan urutan ini:

1. Isolasi router dari internet (cabut kabel WAN).
2. Simpan log dan konfigurasi sebagai bukti sebelum diubah.
3. Reset ke pengaturan pabrik dan bangun ulang dari konfigurasi yang Anda percaya. Jangan memulihkan berkas backup dari router yang diduga terkompromi.
4. Ganti semua rahasia: kata sandi, kunci, dan rahasia lain yang pernah ada di router (VPN, Wi-Fi, dan akun pengelola).

Bagaimana dengan RouterOS 6?

6.49.21 memperbaiki rantai MikroTrick. Saya tidak menemukan keterangan yang jelas apakah CVE-2026-84411 juga berlaku pada cabang 6. Cek advisori MikroTik untuk router Anda. Bila perangkat Anda masih mendukung versi 7, pertimbangkan migrasi.

Yang bisa dipelajari

• Layanan pengelolaan router sebaiknya tidak terjangkau dari internet. Ini lebih efektif daripada mengejar setiap celah.
• Update RouterOS secara berkala dan catat versinya.
• Periksa dari luar jaringan Anda, bukan hanya dari dalam. Caranya ada di artikel cek port terbuka, dan prinsip pengamanan SSH di checklist keamanan VPS Linux baru berlaku juga di sini.

Sumber

• BleepingComputer: Hackers exploit new MikroTik RouterOS flaws to hijack routers (7 September 2026)
• BleepingComputer: CISA warns of critical pre-auth RCE flaw in MikroTik RouterOS (30 September 2026)
• Advisori CISA ICSA-26-272-06
• CERT Polska: vulnerabilities in MikroTik RouterOS actively exploited
• Advisori MikroTik, September 2026
• Dokumentasi MikroTik: status flagged pada device-mode

Baca juga: Cara cek port terbuka di server Linux dengan ss dan nmap · Checklist keamanan VPS Linux baru · Plex2Shell: cara cek dan update Plex