996 Perangkat di 48 Negara Jadi Sasaran Serangan Zero-Day

996 Perangkat di 48 Negara Jadi Sasaran Serangan Zero-Day – Perangkat jaringan menjadi sasaran serangan setelah peneliti menemukan eksploitasi kerentanan pada switch Zyxel seri GS1900.

Serangan tersebut dilaporkan telah mengompromikan 996 perangkat di 48 negara, dengan penyerang mengambil informasi konfigurasi, data jaringan, serta kredensial administrator yang tersimpan pada perangkat.

Kerentanan ini terdaftar sebagai CVE-2026-107441 dengan skor CVSS 8.8 atau kategori High. Kelemahan tersebut berupa out-of-bounds write pada program CGI firmware switch.

Jika berhasil dieksploitasi, penyerang yang memiliki akses ke jaringan lokal dapat mengirimkan permintaan HTTP yang dirancang khusus untuk menjalankan perintah sistem operasi pada perangkat tanpa autentikasi.

Kasus ini menjadi perhatian karena eksploitasi tetap dapat dilakukan pada sejumlah perangkat yang sebelumnya telah menerima pembaruan untuk kerentanan lain.

Dengan kata lain, pembaruan yang dianggap telah menutup celah sebelumnya ternyata belum mengatasi kelemahan yang dimanfaatkan dalam serangan.

Eksploitasi Menembus Pembaruan Sebelumnya

Pada Juni 2026, Zyxel telah merilis pembaruan untuk memperbaiki kerentanan CVE-2026-7273 yang juga memengaruhi seri GS1900. Kerentanan tersebut berkaitan dengan stack-based buffer overflow pada program CGI dan dapat dimanfaatkan untuk menjalankan perintah pada perangkat melalui permintaan HTTP yang dibuat secara khusus.

Namun, dalam penyelidikan berikutnya, peneliti menemukan sebuah skrip eksploitasi pada infrastruktur yang dikendalikan penyerang. Analisis menunjukkan bahwa eksploitasi tersebut masih dapat bekerja pada firmware yang telah menerima pembaruan untuk CVE-2026-7273.

Peneliti menemukan bahwa masalah sebenarnya berkaitan dengan validasi parameter HTTP yang belum memadai. Meskipun pembaruan sebelumnya telah memperbaiki pemeriksaan tertentu, penyerang masih dapat memanipulasi penghitung parameter sebelum proses validasi dilakukan.

Kondisi ini memungkinkan penyerang menulis data di luar batas memori yang seharusnya. Teknik tersebut kemudian dapat dimanfaatkan untuk menjalankan perintah pada sistem operasi perangkat.

Zyxel menetapkan kelemahan tersebut sebagai kerentanan terpisah dengan identitas CVE-2026-107441. Perusahaan kemudian merilis firmware perbaikan pada Oktober 2026 dan menerbitkan advisori keamanan pada 3 November.

Data Konfigurasi dan Kredensial Menjadi Sasaran

Menurut laporan yang dikutip dalam pemberitaan, aktivitas serangan terdeteksi sekitar 17 Agustus 2026. Sebanyak 996 switch Zyxel GS1900 di 48 negara dilaporkan menjadi sasaran dan mengalami kompromi.

Setelah memperoleh akses, penyerang menjalankan skrip untuk mengumpulkan informasi dari perangkat. Data yang diambil mencakup:

File konfigurasi switch, yang dapat mengungkap pengaturan perangkat dan konfigurasi jaringan.
Informasi jaringan, yang dapat membantu penyerang memahami lingkungan jaringan tempat perangkat beroperasi.
Kredensial administrator, termasuk hash kata sandi akun root yang tersimpan pada perangkat.

Temuan yang cukup mengkhawatirkan adalah 564 dari 996 perangkat yang diamati masih menggunakan kredensial bawaan pabrik. Kondisi ini memperlihatkan bahwa penggantian kata sandi default masih menjadi persoalan mendasar dalam pengamanan perangkat jaringan.

Hash kata sandi bukan kata sandi dalam bentuk teks biasa. Namun, jika algoritma atau konfigurasi penyimpanannya lemah, hash tersebut dapat menjadi sasaran serangan pemecahan kata sandi secara offline.

Kredensial yang berhasil diperoleh juga dapat dimanfaatkan untuk mencoba mengakses perangkat lain apabila pengguna memakai kata sandi yang sama.

Informasi konfigurasi jaringan pun memiliki nilai bagi penyerang. Data tersebut dapat membantu mereka mengenali perangkat, memahami struktur jaringan, dan mencari peluang untuk memperluas akses ke sistem lain.

Mengapa Switch Jaringan Perlu Dilindungi?

Switch merupakan perangkat yang menghubungkan berbagai komputer, server, printer, dan perangkat jaringan lainnya. Dalam lingkungan perusahaan, switch membantu mengatur lalu lintas data antarsistem dan menjadi bagian penting dari infrastruktur komunikasi internal.

Jika perangkat ini dikompromikan, penyerang berpotensi mengganggu pengelolaan jaringan, mengubah konfigurasi, atau memanfaatkan informasi yang tersimpan untuk melakukan serangan lanjutan.

Risiko juga meningkat ketika antarmuka administrasi perangkat dapat diakses oleh banyak pihak atau berada pada segmen jaringan yang tidak terlindungi.

Meskipun kerentanan CVE-2026-107441 membutuhkan akses jaringan lokal, hal tersebut tidak berarti risikonya kecil. Penyerang dapat terlebih dahulu memperoleh pijakan di jaringan melalui perangkat lain yang telah dikompromikan.

Karena itu, perangkat jaringan tidak boleh dianggap aman hanya karena tidak dapat diakses langsung dari internet. Pengamanan jaringan internal tetap diperlukan untuk mencegah penyerang yang sudah berada di dalam jaringan memanfaatkan kelemahan perangkat.

Perangkat dan Firmware yang Terdampak

Zyxel mengidentifikasi sepuluh model GS1900 yang terdampak, yaitu:

GS1900-8 dan GS1900-8HP
GS1900-10HP dan GS1900-16
GS1900-24 dan GS1900-24E
GS1900-24EP dan GS1900-24HPv2
GS1900-48 dan GS1900-48HPv2

Perangkat yang menjalankan firmware versi 2.90 Patch 2 atau lebih lama termasuk dalam versi terdampak. Zyxel telah menyediakan firmware perbaikan versi 2.90 Patch 3 dengan nomor build berbeda sesuai model perangkat.

Administrator perlu memeriksa nomor model dan versi firmware secara langsung melalui dokumentasi resmi produsen. Jangan menganggap semua perangkat Zyxel terdampak karena advisori ini secara khusus menyebut model-model GS1900 tersebut.

Langkah Mengamankan Switch Jaringan

Untuk mengurangi risiko eksploitasi dan penyalahgunaan perangkat, administrator jaringan perlu melakukan beberapa tindakan berikut:

Segera pasang firmware terbaru. Periksa model perangkat dan unduh pembaruan yang sesuai dari situs resmi Zyxel. Pastikan firmware telah berhasil dipasang dan versi yang digunakan sudah termasuk versi perbaikan 2.90 Patch 3.
Ganti kredensial bawaan. Ubah kata sandi administrator dan hindari penggunaan kredensial yang sama pada beberapa perangkat. Gunakan kata sandi unik dengan tingkat kompleksitas yang memadai.
Batasi akses antarmuka administrasi. Pastikan halaman pengelolaan switch hanya dapat diakses dari jaringan administrasi yang telah ditentukan. Jangan membuka akses manajemen kepada seluruh pengguna jaringan.
Pisahkan jaringan manajemen. Tempatkan antarmuka administrasi perangkat jaringan pada segmen khusus yang dibatasi dengan aturan firewall dan kontrol akses.
Periksa indikasi kompromi. Tinjau perubahan konfigurasi, aktivitas login, akun yang tidak dikenal, serta koneksi atau proses mencurigakan pada perangkat.
Tinjau kredensial yang mungkin terdampak. Jika perangkat terindikasi telah dikompromikan, ganti kredensial yang tersimpan di dalamnya dan periksa apakah kata sandi serupa digunakan pada sistem lain.
Pantau lalu lintas jaringan. Perhatikan permintaan HTTP yang tidak biasa menuju antarmuka manajemen switch, khususnya dari perangkat atau alamat yang tidak semestinya mengaksesnya.
Siapkan cadangan konfigurasi yang aman. Simpan konfigurasi perangkat sebelum melakukan perubahan atau pemulihan. Pastikan cadangan tidak berisi kredensial yang dapat diakses tanpa perlindungan.

Kasus Zyxel GS1900 memperlihatkan bahwa pembaruan keamanan sebelumnya tidak selalu menjamin seluruh kelemahan pada perangkat telah tertutup. Kerentanan yang berbeda dapat tetap dimanfaatkan meskipun perangkat telah menerima patch untuk masalah lain.

Bagi organisasi, pengamanan perangkat jaringan perlu menjadi bagian dari pemeliharaan keamanan secara menyeluruh. Inventarisasi perangkat, pembaruan firmware, penggantian kredensial bawaan, dan pembatasan akses administrasi merupakan langkah penting untuk mengurangi risiko kompromi infrastruktur jaringan.