Kerentanan Kritis MikroTik RouterOS yang Sedang Dieksploitasi

Pengguna dan administrator jaringan MikroTik perlu meningkatkan kewaspadaan terhadap ancaman keamanan terbaru yang dikenal sebagai MikroTrick. Rangkaian kerentanan ini menargetkan sejumlah komponen pada MikroTik RouterOS dan telah dikaitkan dengan aktivitas eksploitasi terhadap perangkat yang memiliki layanan manajemen terbuka ke internet.

Ancaman ini menjadi perhatian serius karena router MikroTik umumnya berada di garis depan jaringan. Perangkat tersebut dapat berfungsi sebagai router, firewall, VPN gateway, maupun penghubung antara jaringan internal dan internet. Jika router berhasil dikuasai, dampaknya dapat meluas jauh di luar perangkat itu sendiri.

Apa Itu MikroTrick?

MikroTrick bukan merupakan satu celah keamanan tunggal. Istilah tersebut merujuk pada rangkaian teknik eksploitasi yang memanfaatkan beberapa kerentanan pada RouterOS.

Salah satu bagian penting dari rangkaian serangan tersebut berkaitan dengan mekanisme autentikasi SSH menggunakan RSA.

Pada kondisi tertentu, kelemahan dalam proses pemeriksaan parameter kunci RSA dapat memungkinkan penyerang memanipulasi proses verifikasi autentikasi. Kerentanan tersebut tercatat sebagai CVE-2026-67276 dan memiliki tingkat keparahan CVSS 4.0 sebesar 9.2 (Critical).

Artinya, perangkat yang menjalankan versi RouterOS rentan dan memiliki permukaan serangan yang sesuai tidak boleh dianggap aman hanya karena menggunakan autentikasi berbasis SSH key.

Enam Kerentanan yang Berkaitan dengan MikroTrick

Menurut laporan keamanan yang membahas MikroTrick, terdapat beberapa celah yang dapat digunakan pada berbagai komponen RouterOS.

Di antaranya:

CVE-2026-67276 — kelemahan dalam verifikasi RSA pada autentikasi SSH.

CVE-2026-86060 — kelemahan argument injection yang berkaitan dengan pemrosesan username tertentu.

CVE-2026-67279 — masalah pada komponen SSH yang dapat memberikan akses terhadap file namespace sebelum autentikasi selesai.

CVE-2026-67277 — kelemahan pada fitur bandwidth-test yang dapat menyebabkan kebocoran memori kernel dan kondisi crash.

CVE-2026-67278 — masalah dalam pemrosesan sertifikat X.509.

CVE-2026-67281 — kelemahan unauthenticated file read pada WebFig/jsproxy yang berkaitan dengan pointer dan path traversal.

Kombinasi beberapa kelemahan tersebut membuat MikroTrick lebih tepat dipahami sebagai attack chain, bukan sekadar sebuah bug pada satu fitur RouterOS.

CVE-2026-67281 Menjadi Perhatian Khusus

Salah satu kerentanan yang perlu diperhatikan adalah CVE-2026-67281.

Celah tersebut berhubungan dengan mekanisme WebFig/jsproxy dan dapat memungkinkan pembacaan file tanpa autentikasi dalam kondisi tertentu. Dengan kemampuan membaca file yang seharusnya tidak dapat diakses, informasi sensitif pada perangkat berpotensi ikut terekspos.

Pada perangkat jaringan, kebocoran file bukan masalah kecil. Informasi yang diperoleh dari sistem dapat digunakan sebagai bahan untuk tahap serangan berikutnya, termasuk pengumpulan informasi konfigurasi dan kredensial.

Karena itu, administrator sebaiknya tidak hanya memeriksa apakah SSH terbuka. WebFig dan layanan manajemen RouterOS lainnya juga perlu diperiksa.

Mengapa Router MikroTik Menjadi Target yang Berbahaya?

Router memiliki posisi yang sangat strategis dalam sebuah jaringan.

Berbeda dengan komputer biasa, router dapat mengetahui dan mengendalikan lalu lintas antara berbagai segmen jaringan. Perangkat tersebut juga sering memiliki akses menuju:

jaringan LAN;

server;

kamera CCTV;

access point;

perangkat IoT;

VPN;

perangkat administrasi;

serta koneksi internet.

Jika sebuah router berhasil dikompromikan, penyerang berpotensi menggunakannya sebagai titik awal untuk melakukan pengintaian terhadap jaringan internal.

Dalam skenario yang lebih serius, router yang sudah dikuasai dapat menjadi tempat untuk mempertahankan akses, memodifikasi konfigurasi jaringan, mengamati koneksi, atau melakukan pivot menuju perangkat lain.

Versi RouterOS yang Sudah Mendapatkan Perbaikan

MikroTik telah menyediakan pembaruan RouterOS untuk mengatasi kerentanan yang berkaitan dengan MikroTrick.

Versi perbaikan yang perlu diperhatikan antara lain:

Branch RouterOSVersi perbaikanRouterOS 6 Long-term6.49.21RouterOS 7.23 Long-term7.23.4RouterOS 7 Stable7.24.2RouterOS 7 Development7.25 beta 3

Untuk administrator yang menggunakan branch 7.23, perlu diperhatikan bahwa tersedia maintenance release yang lebih baru setelah 7.23.4. Karena itu, jangan hanya berpatokan pada nomor versi minimum apabila perangkat dapat diperbarui ke rilis pemeliharaan yang lebih baru dan kompatibel.

Prinsipnya: gunakan versi RouterOS terbaru yang sudah diperbaiki dan sesuai dengan branch serta kebutuhan perangkat.

Cara Mengecek Apakah MikroTik Berpotensi Terkompromi

Melakukan upgrade RouterOS merupakan langkah penting, tetapi tidak selalu berarti perangkat yang sebelumnya sudah diretas otomatis kembali bersih.

Jika penyerang telah memperoleh akses sebelum patch diterapkan, mereka mungkin sudah membuat perubahan pada sistem.

MikroTik menyediakan mekanisme pemeriksaan yang dapat membantu administrator mengetahui indikasi kompromi setelah pembaruan.

Salah satu pemeriksaan yang dapat dilakukan melalui terminal RouterOS adalah:

/log print where message~"Flagged"

Jika muncul indikasi Flagged, perangkat sebaiknya diperlakukan sebagai perangkat yang berpotensi telah mengalami kompromi dan dilakukan pemeriksaan lebih lanjut.

Jangan langsung berasumsi bahwa perangkat aman hanya karena proses upgrade berhasil.

Periksa User, Script, dan Scheduler MikroTik

Setelah melakukan patch, administrator sebaiknya melakukan audit terhadap konfigurasi RouterOS.

Beberapa perintah yang dapat digunakan:

/user print /system script print /system scheduler print

Perhatikan terutama:

akun administrator yang tidak dikenal;

user baru yang tidak tercatat dalam change management;

script yang tidak pernah dibuat oleh administrator;

scheduler yang menjalankan script secara berkala;

perubahan konfigurasi yang tidak diketahui sumbernya;

aktivitas SSH yang tidak sesuai pola penggunaan normal.

Beberapa indikator tertentu, seperti username anomali atau pola login SSH tertentu, dapat menjadi petunjuk untuk investigasi. Namun satu indikator saja tidak cukup untuk menyimpulkan bahwa perangkat telah diretas.

Administrator perlu mencocokkannya dengan timestamp log, konfigurasi, riwayat perubahan, serta aktivitas jaringan.

Jangan Mengekspos SSH MikroTik ke Internet Secara Bebas

Salah satu langkah mitigasi paling penting adalah mengurangi attack surface pada management interface.

Jika SSH hanya dibutuhkan dari jaringan administrator, aksesnya dapat dibatasi menggunakan address list atau subnet tertentu.

Contohnya:

/ip service set ssh address=192.168.88.0/24

Jika SSH tidak digunakan sama sekali, layanan tersebut dapat dinonaktifkan:

/ip service disable ssh

Pendekatan serupa sebaiknya diterapkan pada layanan manajemen lain yang tidak diperlukan.

Apakah Mengganti Port SSH Sudah Cukup?

Tidak.

Mengubah port SSH, misalnya dari port default ke port lain, memang dapat mengurangi sebagian pemindaian otomatis. Namun cara tersebut bukan solusi keamanan utama.

Penyerang yang melakukan scanning port dapat menemukan layanan tersebut pada port yang berbeda.

Perlindungan yang lebih efektif adalah:

Firewall + VPN + IP allowlist + pembatasan management interface.

Dengan pendekatan tersebut, layanan administrasi hanya dapat diakses oleh sumber yang memang dipercaya.

Bagaimana Jika MikroTik Sudah Terindikasi Diretas?

Ini merupakan bagian yang sering terlewat dalam proses penanganan insiden.

Jika terdapat indikasi kuat bahwa perangkat telah dikompromikan, jangan langsung menghapus semua artefak yang mencurigakan.

Hindari terburu-buru melakukan:

penghapusan user;

penghapusan script;

penghapusan scheduler;

factory reset;

reboot berkali-kali;

atau cleanup konfigurasi tanpa dokumentasi.

Tindakan tersebut dapat menghilangkan informasi yang berguna untuk mengetahui bagaimana serangan terjadi.

Untuk perangkat penting, pendekatan yang lebih tepat adalah:

Containment → Evidence Preservation → Investigation → Eradication → Rebuild → Hardening → Monitoring

Dengan metode tersebut, administrator memiliki kesempatan lebih besar untuk mengetahui sumber kompromi dan memastikan masalah tidak kembali terjadi.

Kapan MikroTik Sebaiknya Di-Netinstall?

Jika kompromi sudah terkonfirmasi, clean rebuild menggunakan Netinstall dapat menjadi pilihan remediation yang lebih kuat.

Tujuannya bukan sekadar menghapus akun mencurigakan, tetapi mengembalikan sistem ke kondisi yang lebih dapat dipercaya.

Setelah proses instalasi ulang, administrator sebaiknya:

memasang RouterOS yang sudah mendapatkan security patch;

membuat konfigurasi dari sumber yang telah diverifikasi;

memeriksa kembali seluruh user;

mengganti password administrator;

melakukan rotasi SSH key jika diperlukan;

memeriksa sertifikat;

membatasi akses management;

meninjau kembali rule firewall;

mengaktifkan logging yang relevan;

memantau koneksi keluar dari router.

Konfigurasi lama juga sebaiknya tidak langsung diimpor tanpa pemeriksaan. Jika konfigurasi tersebut sudah dimodifikasi penyerang, memasukkannya kembali dapat membawa masalah yang sama ke sistem yang baru.

Patch RouterOS Bukan Berarti Insiden Selesai

Ada perbedaan penting antara vulnerability remediation dan incident remediation.

Upgrade firmware bertujuan menutup kerentanan yang dapat digunakan untuk masuk ke perangkat.

Sementara itu, incident response bertujuan memastikan bahwa penyerang tidak lagi memiliki akses dan tidak meninggalkan persistence.

Sederhananya:

Patch menutup pintu. Incident response memastikan tidak ada orang yang sudah masuk dan masih bersembunyi di dalam.

Karena itu, administrator MikroTik yang menemukan indikasi kompromi sebaiknya melakukan pemeriksaan lanjutan meskipun perangkat sudah berhasil diperbarui.

Langkah Pencegahan untuk Administrator MikroTik

Selain memperbarui RouterOS, beberapa praktik berikut dapat membantu mengurangi risiko serangan berikutnya:

Selalu Update RouterOS

Gunakan branch yang sesuai dan lakukan pembaruan security patch secara berkala.

Batasi WinBox, SSH, dan WebFig

Jangan membuka layanan administrasi ke seluruh internet jika tidak diperlukan.

Gunakan VPN untuk Remote Management

Jika administrator membutuhkan akses dari luar jaringan, VPN merupakan pilihan yang lebih baik dibandingkan mengekspos management interface secara langsung.

Audit Akun Secara Berkala

Pastikan seluruh user MikroTik memiliki alasan penggunaan yang jelas.

Pantau Log

Log dapat membantu menemukan pola login, perubahan konfigurasi, maupun aktivitas yang tidak biasa.

Pisahkan Management Network

Pada jaringan yang lebih besar, management VLAN dapat digunakan agar akses administratif tidak bercampur dengan jaringan pengguna.

Lakukan Backup dengan Benar

Backup sebaiknya disimpan secara aman dan tidak hanya berada di perangkat router yang sama.

Kesimpulan

MikroTrick menunjukkan bahwa keamanan MikroTik RouterOS tidak cukup hanya mengandalkan password yang kuat. Kerentanan pada mekanisme autentikasi, pemrosesan input, WebFig, SSH, maupun komponen lainnya dapat menciptakan rangkaian serangan yang berbahaya ketika perangkat memiliki exposure yang tepat.

Administrator MikroTik sebaiknya segera memastikan perangkat menjalankan RouterOS yang telah mendapatkan patch keamanan, kemudian memeriksa log dan konfigurasi untuk mencari kemungkinan tanda kompromi.

Yang tidak kalah penting, jangan menganggap upgrade firmware sebagai akhir dari proses apabila router menunjukkan indikator telah diserang.

Untuk perangkat yang berfungsi sebagai router utama, firewall, VPN gateway, atau network edge, pemeriksaan keamanan harus dilakukan secara serius karena kompromi terhadap satu router berpotensi memberikan jalan bagi penyerang untuk menjangkau bagian lain dari jaringan.

Jika MikroTik Anda mengekspos SSH atau layanan management lainnya langsung ke internet, sekarang adalah waktu yang tepat untuk melakukan audit konfigurasi dan memperbarui RouterOS.