KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengoperasikan router atau perangkat berbasis MikroTik RouterOS untuk segera memperbarui perangkat tersebut. Tiga kerentanan, yaitu CVE-2026-86060 (CVSS 9,2), CVE-2026-67277 (CVSS 8,8), dan CVE-2026-67279 (CVSS 6,9), telah dimasukkan ke katalog Known Exploited Vulnerabilities (KEV) CISA pada 10 September 2026 (CVE-2026-86060 dan CVE-2026-67277) dan 25 September 2026 (CVE-2026-67279), yang berarti eksploitasinya sudah teramati di dunia nyata.

Perlu diperhatikan bahwa RouterOS versi 6 ikut terdampak. Banyak router lama masih berjalan di cabang 6.x dan sering dianggap sudah tidak relevan; untuk ketiga kerentanan ini, cabang tersebut juga mendapat perbaikan (6.49.21).

Ikhtisar

Ketiga kerentanan ditemukan oleh CERT Polska dan dipublikasikan pada 5 September 2026. MikroTik merilis perbaikan pada 3 September 2026 di seluruh kanal rilis. Dua di antaranya menyangkut layanan SSH pada RouterOS, satu lagi menyangkut layanan bandwidth-test (btest):

• CVE-2026-86060 — penanganan nama pengguna yang diawali karakter terlarang pada proses login SSH keliru (CWE-88, argument injection), sehingga policy mask yang dipercaya RouterOS dapat diubah dan terjadi privilege escalation. Vektor CVSS 4.0 dari CERT Polska: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. NVD menilai 9,8 menurut CVSS 3.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
• CVE-2026-67277 — server btest menerima koneksi “related” sebelum sesi utamanya selesai diautentikasi (CWE-306, missing authentication). Klien tanpa akun dapat memicu kebocoran isi memori kernel dan mengirim lalu lintas berukuran tidak wajar yang dapat membuat router memuat ulang (restart). Vektor CVSS 4.0: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:H/SC:N/SI:N/SA:N. NVD menilai 8,2 menurut CVSS 3.1.
• CVE-2026-67279 — setelah klien meminta penyusunan ulang kunci (rekey), server SSH masuk ke tahap protokol koneksi walau autentikasi pengguna belum pernah dilakukan (CWE-841, improper enforcement of behavioral workflow). Klien tanpa akun dapat membuka kanal sesi dan mengirim permintaan exec. Vektor CVSS 4.0: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N. NVD menilai 6,5 menurut CVSS 3.1.

Dalam catatan KEV, CISA menyebut CVE-2026-67279 dapat dirangkai dengan CVE-2026-86060 untuk eksploitasi tanpa autentikasi. CERT Polska menamai rangkaian kerentanan ini MikroTrick dan menyatakan telah memperoleh konfirmasi bahwa kombinasi dua kerentanan di dalamnya dipakai untuk mengambil alih penuh perangkat yang layanan SSH-nya dapat dijangkau dari jaringan publik.

Dampak

• Penyerang dari internet, tanpa akun, dapat mengambil alih router hingga memperoleh hak administrator penuh bila layanan SSH-nya terbuka ke jaringan publik.
• Router yang diambil alih dapat dipakai untuk mengubah konfigurasi, menambah akun, skrip, tugas terjadwal, proxy, dan terowongan (tunnel), serta menyadap atau mengalihkan lalu lintas seluruh jaringan di belakangnya.
• CVE-2026-67279 memungkinkan pembuatan, penimpaan, dan penyusunan ulang berkas pada ruang berkas yang dikelola RouterOS, termasuk berkas dukungan (support file) yang memuat konfigurasi dan data diagnostik.
• CVE-2026-67277 dapat membocorkan potongan memori kernel dan membuat router restart berulang, sehingga memutus konektivitas kantor maupun layanan publik yang bergantung padanya.

Sistem yang Terdampak

Rentang terdampak mengikuti konfigurasi CPE pada NVD untuk ketiga CVE (RouterOS 6.0 sampai sebelum 6.49.21, 7.0 sampai sebelum 7.23.4, dan 7.24 sampai sebelum 7.24.2). MikroTik juga mencantumkan 7.25 beta 3 sebagai rilis yang memuat perbaikan. Catatan perubahan resmi untuk 6.49.21, 7.23.4, dan 7.24.2 bertanggal 3 September 2026 dan menyebut “important security update” tanpa rincian teknis.

Rincian CVE

Detail Teknis

Ketiga kerentanan berada pada layanan jaringan RouterOS yang dapat dijangkau sebelum autentikasi selesai. Pada SSH, kekeliruan terjadi pada proses login (penanganan nama pengguna) dan pada alur protokol setelah rekey; pada btest, kekeliruan terjadi pada penerimaan koneksi pendamping sebelum sesi utamanya terautentikasi. Karena itu, risiko terbesar ada pada perangkat yang layanan SSH atau btest-nya dapat diakses dari internet atau dari jaringan yang tidak tepercaya.

MikroTik menjelaskan bahwa konfigurasi bawaan memblokir akses SSH dari internet, sehingga sebagian besar konfigurasi tidak berisiko. Namun router yang membuka SSH atau btest ke jaringan luar secara manual, misalnya untuk akses jarak jauh atau pengujian throughput antarlokasi, berada dalam kondisi yang paling rentan. Pada rilis perbaikan, RouterOS juga memeriksa konfigurasi saat dinyalakan untuk mencari tanda-tanda perubahan tidak sah; bila ditemukan, perangkat diberi status Flagged dan entri kritis ditulis di log. Mekanisme ini hanya mendeteksi sebagian jejak, sehingga ketiadaan status Flagged bukan bukti bahwa perangkat aman.

Rincian teknis yang lebih dalam tidak dimuat di sini karena dapat langsung dimanfaatkan terhadap perangkat yang belum diperbarui.

Rekomendasi

1. Inventarisasi seluruh perangkat RouterOS di Perangkat Daerah, termasuk router lama di cabang 6.x, perangkat di kantor cabang, dan perangkat yang dikelola pihak ketiga. Periksa versi melalui menu System → Resources atau perintah /system resource print.
2. Perbarui RouterOS ke 6.49.21, 7.23.4, 7.24.2, atau yang lebih baru sesuai jalur versi yang dipakai. Router v6 tetap harus diperbarui ke 6.49.21 walau jalur versinya sudah lama; bila perangkat keras mendukung, rencanakan migrasi ke v7. Setelah pembaruan, perbarui juga firmware RouterBOARD sesuai petunjuk vendor.
3. Batasi akses SSH dari internet. Pastikan SSH (dan juga WWW/WWW-SSL serta Winbox) hanya dapat dijangkau dari alamat pengelola yang tepercaya, melalui pengaturan /ip service (available-from) dan aturan firewall pada chain input. Cara yang lebih baik: akses router melalui VPN seperti WireGuard dan jangan membuka port pengelolaan sama sekali.
4. Nonaktifkan server bandwidth-test (btest) bila tidak dipakai dengan perintah /tool bandwidth-server set enabled=no, dan blokir port btest dari internet. Bila btest diperlukan, batasi hanya untuk alamat tepercaya.
5. Hindari membuka koneksi TLS dari perangkat yang belum diperbarui dan jangan memakai klien SSH bawaan RouterOS (/system ssh dan /system ssh-exec) ke jaringan atau host yang tidak tepercaya. Ini hanya langkah sementara dan tidak menggantikan pembaruan.
6. Periksa tanda penyusupan setelah pembaruan: baca log untuk entri kritis berstatus Flagged, jalankan /system device-mode print untuk melihat penanda flagged, lalu tinjau akun pengguna yang tidak dikenal (CERT Polska melaporkan akun berhak tinggi bernama “ops” pada serangan yang teramati), skrip, tugas terjadwal (scheduler), proxy, terowongan, dan aturan firewall atau NAT yang tidak pernah dibuat pengelola.
7. Bila ada indikasi perangkat telah diambil alih, isolasikan dari jaringan, amankan log dan konfigurasi sebelum reset, lalu pulihkan dari konfigurasi yang diketahui bersih. Ganti seluruh kata sandi dan kunci SSH yang pernah dipakai pada perangkat tersebut, serta kredensial lain yang melewati router (misalnya VPN dan RADIUS).
8. Laporkan ke KUTIM-CSIRT melalui kanal pelaporan resmi atau csirt@kutaitimurkab.go.id apabila ditemukan indikasi penyusupan.

Catatan Status Eksploitasi

Ketiga CVE tercatat di katalog Known Exploited Vulnerabilities (KEV) CISA: CVE-2026-86060 dan CVE-2026-67277 masuk pada 10 September 2026, dan CVE-2026-67279 masuk pada 25 September 2026. CERT Polska melaporkan serangan terhadap perangkat RouterOS yang SSH-nya terbuka ke internet telah teramati sejak awal September 2026, dan bahwa pembaruan yang dirilis mencegah serangan yang teramati tersebut. Karena eksploitasi sudah berlangsung, perangkat yang pernah terbuka ke internet sebelum diperbarui perlu diperiksa kemungkinan penyusupannya, bukan hanya diperbarui.

Rilis yang sama juga memperbaiki kerentanan lain yang ditemukan CERT Polska (misalnya CVE-2026-67276, authentication bypass pada SSH). Kerentanan tersebut tidak dibahas rinci dalam artikel ini; pembaruan ke versi terbaru pada jalur versi yang sama tetap dianjurkan.

Referensi

• MikroTik – September 2026 vulnerability (security bulletin)
• MikroTik – RouterOS changelogs (6.49.21, 7.23.4, 7.24.2)
• CERT Polska – Critical vulnerabilities in MikroTik RouterOS are being actively exploited
• CERT Polska – Vulnerabilities in Mikrotik RouterOS software
• NVD – CVE-2026-86060
• NVD – CVE-2026-67277
• NVD – CVE-2026-67279
• CISA Known Exploited Vulnerabilities Catalog