Satu Server Ribuan Korban

Satu Server Ribuan Korban – Platform Remote Monitoring and Management (RMM) merupakan salah satu komponen paling penting dalam operasional penyedia layanan TI (Managed Service Provider/MSP).

Melalui platform ini, administrator dapat memantau, mengelola, memperbarui perangkat lunak, hingga mengakses komputer pelanggan dari jarak jauh.

Namun, ketika platform tersebut berhasil ditembus, dampaknya dapat menjalar ke seluruh perangkat yang dikelolanya.

Hal inilah yang baru-baru ini terjadi pada N-able N-central, setelah perusahaan mengungkap bahwa pelaku ancaman berhasil mengeksploitasi kerentanan baru untuk memperoleh akses administratif ke server pelanggan.

Celah tersebut kemudian dimanfaatkan untuk mengendalikan sistem lain yang berada di bawah pengelolaan N-central.

Kerentanan Baru Berasal dari Celah Lama

N-able mengungkapkan bahwa pada 31 Juli 2026, timnya mendeteksi peningkatan masalah lisensi pada pelanggan N-central versi on-premises.

Investigasi yang dilakukan kemudian menemukan bahwa kerentanan CVE-2026-18556, yang sebelumnya telah diperbaiki, ternyata masih memiliki jalur eksploitasi lain yang belum tertutup sepenuhnya.

Pelaku ancaman memanfaatkan jalur baru tersebut untuk mendapatkan hak akses administrator pada server N-central yang belum diperbarui. Kerentanan baru ini kemudian didaftarkan sebagai CVE-2026-18577 dengan skor CVSS 8.2, yang menunjukkan tingkat keparahan tinggi.

Bagaimana Serangan Dilakukan?

Setelah berhasil memperoleh akses administratif ke server N-central, penyerang tidak berhenti di sana. Mereka memanfaatkan fitur bawaan Take Control, yaitu fasilitas remote desktop milik N-central, untuk masuk ke berbagai perangkat yang dikelola oleh server tersebut.

Di dalam perangkat korban, pelaku kemudian membuat layanan baru menggunakan Cloudflare Tunnel. Teknik ini memungkinkan mereka mempertahankan akses bahkan setelah administrator berhasil mencabut akses ke server N-central.

Dengan kata lain, meskipun server utama telah diamankan, penyerang masih dapat kembali masuk melalui jalur yang telah mereka tanam sebelumnya.

Mengapa Serangan Ini Sangat Berbahaya?

Berbeda dengan serangan terhadap komputer biasa, kompromi terhadap server RMM memiliki konsekuensi yang jauh lebih besar.

Server N-central memiliki hak untuk:

• Menjalankan script pada perangkat klien.
• Mengirim dan memasang aplikasi.
• Melakukan patch sistem.
• Membuka sesi remote desktop.
• Mengelola ratusan hingga ribuan endpoint secara bersamaan.

Karena itulah para peneliti menggambarkan kompromi terhadap server RMM layaknya memperoleh “god mode” dalam sebuah permainan, yaitu hak penuh untuk mengendalikan seluruh lingkungan TI yang berada di bawah pengelolaannya.

Aktivitas Penyerang Setelah Berhasil Masuk

Peneliti Huntress yang turut mengamati insiden ini menemukan bahwa pelaku biasanya melakukan beberapa langkah berikut setelah berhasil masuk:

• Menggunakan akses N-central untuk berpindah ke server bernilai tinggi, terutama Domain Controller.
• Mengambil daftar proses (process list) yang sedang berjalan guna memahami lingkungan korban.
• Menentukan target lanjutan berdasarkan layanan yang aktif.
• Mempertahankan akses menggunakan Cloudflare Tunnel.
• Berpotensi menyebarkan tool maupun script ke seluruh endpoint yang dikelola.

Walaupun saat ini eksploitasi masih terbatas pada sejumlah kecil pelanggan, para peneliti menilai seluruh implementasi N-central yang belum diperbarui tetap berada dalam kondisi berisiko tinggi.

Masih Banyak Server yang Belum Ditambal

Menurut peneliti, hampir seluruh pelanggan layanan cloud telah menerima pembaruan secara otomatis. Namun situasinya berbeda pada instalasi mandiri (self-hosted).

Hasil pemantauan menunjukkan:

• Sekitar 13,6% server N-central yang masih dapat dijangkau belum dipatch.
• Pada implementasi self-hosted, sekitar 28,6% server masih menjalankan versi yang rentan.

Artinya, masih terdapat cukup banyak organisasi yang berpotensi menjadi sasaran eksploitasi apabila belum segera melakukan pembaruan.

Langkah Mitigasi yang Direkomendasikan

Bagi organisasi yang menggunakan N-able N-central, beberapa tindakan berikut sangat disarankan:

1. Segera lakukan pembaruan ke versi N-central 2026.3.1.7 atau versi terbaru yang telah disediakan N-able.
2. Periksa seluruh akun administrator untuk memastikan tidak ada akun baru yang dibuat tanpa izin.
3. Audit aktivitas remote control melalui fitur Take Control guna mendeteksi sesi yang mencurigakan.
4. Tinjau konfigurasi sistem dan identifikasi perubahan yang tidak sesuai dengan operasional normal.
5. Cari indikator kompromi (IoC) yang telah dipublikasikan oleh N-able maupun Huntress.
6. Periksa keberadaan Cloudflare Tunnel atau layanan baru yang tidak dikenal pada endpoint.
7. Pertimbangkan menonaktifkan sementara N-central apabila ditemukan indikasi kompromi hingga proses investigasi selesai.
8. Pantau Domain Controller dan server penting lainnya untuk memastikan tidak terjadi pergerakan lateral dari akun administrator yang disusupi.

Platform Manajemen Bukan Titik yang Aman

Kasus ini kembali menunjukkan bahwa platform administrasi seperti RMM, backup server, identity server, maupun management console merupakan target bernilai tinggi bagi kelompok peretas.

Alih-alih menyerang setiap komputer satu per satu, mereka cukup mengambil alih satu server pengelola untuk memperoleh akses ke seluruh jaringan.

Bagi organisasi yang menggunakan solusi manajemen TI, pembaruan keamanan harus menjadi prioritas utama. Selain memastikan patch selalu terpasang, audit rutin terhadap aktivitas administrator, penerapan autentikasi multifaktor (MFA), pemantauan akses jarak jauh, serta evaluasi konfigurasi keamanan perlu dilakukan secara berkala.

Dengan pendekatan tersebut, organisasi dapat mengurangi risiko ketika muncul kerentanan baru pada infrastruktur yang memiliki hak akses luas terhadap seluruh lingkungan TI

Sumber berita:

WeLiveSecurity