Hackers Eksploit Dua Celah MikroTik RouterOS untuk Membajak Router

Sejumlah hacker dilaporkan mulai mengeksploitasi dua kerentanan baru pada perangkat MikroTik RouterOS untuk mengambil alih router yang layanan SSH-nya dapat diakses dari internet.

Serangan tersebut memanfaatkan rangkaian dua celah keamanan yang memungkinkan penyerang melewati proses autentikasi SSH, kemudian meningkatkan hak akses hingga memperoleh kendali administratif penuh atas router.

Rangkaian Eksploit “MikroTrick” Ambil Alih Router

Salah satu kerentanan yang dieksploitasi adalah CVE-2026-67276, yaitu celah authentication bypass pada layanan SSH MikroTik RouterOS akibat validasi kunci publik RSA yang tidak lengkap.

Dengan mengetahui username dan public modulus dari kunci milik pengguna, penyerang dapat membuat kunci berbeda yang tetap diterima oleh sistem. Dengan cara tersebut, hacker dapat masuk melalui SSH tanpa memiliki private key pengguna yang sah.

Celah kedua, CVE-2026-86060, merupakan kerentanan privilege escalation pada SSH RouterOS yang disebabkan oleh penanganan username yang tidak semestinya.

Penyerang dapat menggunakan username yang dirancang khusus untuk memanipulasi sesi SSH sehingga memperoleh hak akses administrator penuh.

Kedua kerentanan tersebut kemudian dapat dirangkai menjadi serangan yang memungkinkan pengambilalihan router secara menyeluruh. Polandia CERT menyebut rangkaian eksploit ini sebagai “MikroTrick” dan memperingatkan bahwa serangan tersebut telah aktif digunakan di dunia nyata.

“Dalam beberapa hari terakhir kami mengamati serangan terhadap perangkat RouterOS yang dapat diakses dari internet.”

Menurut Polandia CERT, pihaknya telah memperoleh konfirmasi bahwa kombinasi kedua kerentanan tersebut digunakan untuk mengambil kendali penuh atas perangkat yang layanan SSH-nya terbuka untuk jaringan publik.

Kedua celah tersebut ditemukan oleh badan CERT Polandia dengan bantuan GPT-5.5-cyber dan GPT-5.6-sol, serta mendapatkan tingkat keparahan kritis.

Ada Celah Ketiga pada RouterOS

Selain dua kerentanan yang digunakan dalam MikroTrick, Polandia CERT juga mengungkap CVE-2026-67277 yang memengaruhi layanan bandwidth-test pada RouterOS.

Celah ini memungkinkan attacker yang tidak terautentikasi untuk membocorkan sebagian isi kernel memory atau menyebabkan router mengalami crash dan restart dari jarak jauh.

Berbeda dengan dua celah yang membentuk rantai MikroTrick, informasi yang tersedia tidak menyebutkan bahwa CVE-2026-67277 menjadi bagian dari rangkaian eksploit pengambilalihan router yang sedang diamati.

MikroTik Sudah Merilis Patch

MikroTik telah memperbaiki ketiga kerentanan tersebut melalui pembaruan RouterOS yang dirilis pada 3 September 2026.

Versi yang telah mendapatkan perbaikan meliputi:

• RouterOS 7.25beta3
• RouterOS 7.24.2
• RouterOS 7.23.4
• RouterOS 6.49.21

Polandia CERT juga telah memvalidasi bahwa pembaruan tersebut berhasil memperbaiki kerentanan yang dilaporkan.

Dalam advisory-nya, MikroTik menyebut bahwa tidak semua konfigurasi perangkat terdampak. Namun, vendor tidak mengungkapkan rincian konfigurasi yang rentan agar pengguna memiliki waktu untuk memasang pembaruan keamanan.

RouterOS Kini Memiliki Mekanisme Deteksi Kompromi

Pembaruan tersebut tidak hanya memperbaiki kerentanan, tetapi juga menambahkan mekanisme compromise detection.

Fitur ini akan memeriksa router saat startup untuk mencari tanda-tanda perubahan konfigurasi yang tidak sah. Jika menemukan entri yang diketahui berbahaya, sistem dapat menonaktifkannya dan mencatat peringatan dengan tingkat kritis.

Meski demikian, Polandia CERT mengingatkan bahwa tidak adanya marker atau indikasi kompromi bukan berarti router pasti aman.

Dengan kata lain, administrator tidak seharusnya menganggap perangkat bersih hanya karena mekanisme deteksi bawaan tidak menemukan tanda-tanda serangan.

Indikator Kompromi yang Perlu Diperiksa

Polandia CERT membagikan sejumlah indikator kompromi atau IoC yang dapat digunakan administrator untuk memeriksa perangkat mereka.

Beberapa di antaranya adalah:

• Log login failure for user -2 from <ip> via ssh
• Log user <name> added by ssh:-2@<ip>
• Keberadaan akun ops dengan hak akses sangat tinggi
• Alamat IP 82.192.72.4, yang dikaitkan dengan serangan yang telah dikonfirmasi berhasil
• Alamat IP 103.102.31.18, yang terpantau mencoba mengeksploitasi MikroTrick

Administrator MikroTik yang menemukan aktivitas mencurigakan sebaiknya tidak hanya menghapus akun atau mengembalikan konfigurasi secara manual, karena penyerang yang sudah memperoleh akses administratif berpotensi telah melakukan perubahan lain pada perangkat.

Apa yang Harus Dilakukan Jika Router Diduga Diretas?

Jika terdapat indikasi bahwa router telah dikompromikan, Polandia CERT merekomendasikan administrator untuk terlebih dahulu mengisolasi perangkat dan mempertahankan log serta konfigurasi yang ada untuk kebutuhan investigasi.

Setelah itu, router sebaiknya di-factory reset dan dibangun kembali menggunakan konfigurasi yang dipercaya aman.

Password, key, dan berbagai secret yang mungkin dapat diakses melalui perangkat juga perlu diganti.

Langkah ini penting karena melakukan patch terhadap router yang sudah dikuasai attacker tidak selalu cukup untuk menghilangkan persistence atau perubahan konfigurasi berbahaya yang telah dibuat sebelumnya.

Batasi Layanan yang Terbuka ke Internet

Bagi administrator yang belum dapat memasang pembaruan, Polandia CERT menyarankan untuk membatasi atau menonaktifkan layanan yang dapat diakses dari jaringan eksternal, terutama:

• SSH
• WWW/WWW-SSL
• Bandwidth-test

Administrator juga disarankan menghindari penggunaan SSH client bawaan serta koneksi TLS keluar melalui jaringan yang tidak dipercaya sampai perangkat mendapatkan perlindungan yang memadai.

Langkah tersebut menjadi semakin penting mengingat layanan SSH yang terbuka ke internet merupakan salah satu kondisi yang memungkinkan rantai MikroTrick digunakan untuk mengambil alih router.

Lebih dari 122 Ribu MikroTik Terpantau Membuka SSH

Besarnya potensi sasaran terlihat dari data The Shadowserver Foundation. Hingga 5 September 2026, sekitar 122.500 perangkat MikroTik terpantau memiliki interface SSH yang terbuka ke internet.

Namun, jumlah tersebut tidak dapat dianggap sebagai jumlah perangkat yang pasti rentan terhadap MikroTrick. Data yang tersedia hanya menunjukkan perangkat dengan SSH yang terekspos, sementara konfigurasi dan versi RouterOS masing-masing perangkat tidak diketahui.

Karena eksploitasi telah dikonfirmasi terjadi di dunia nyata, administrator MikroTik sebaiknya tidak menunggu munculnya tanda-tanda serangan sebelum melakukan pembaruan.

Sumber: Polandia CERT