Rangkuman Keamanan Siber September 2026: cPanel, MikroTik, Citrix, dan Patch Tuesday Terbesar

September 2026 dibuka dengan pembajakan BGP yang lolos RPKI dan ditutup dengan zero-day Citrix NetScaler yang dieksploitasi di seluruh dunia. Di antaranya, panel hosting, router MikroTik, gateway VPN, dan webmail sama-sama menjadi sasaran. Microsoft juga merilis Patch Tuesday terbesar dalam sejarahnya.

Berikut ringkasan yang paling relevan untuk bisnis dan pengelola server di Indonesia.

Prioritas bulan ini

Produk	Celah	Status	Tindakan
cPanel & WHM	CVE-2026-87899	Akun hosting mana pun bisa menjalankan kode sebagai root	Update ke build terbaru
MikroTik RouterOS	CVE-2026-67277, CVE-2026-86060	Dieksploitasi, router diambil alih tanpa login	Update sesuai advisory MikroTik
Windows	CVE-2026-81963, CVE-2026-85880	Dua zero-day dieksploitasi	Pasang update September
Citrix NetScaler	CVE-2026-88771, CVE-2026-88772	Dieksploitasi massal, root tanpa login	Update dan cek tanda kompromi
Check Point Gateway	CVE-2026-85102	Dieksploitasi sejak 12 September	Pasang hotfix
Roundcube	CVE-2026-48842	Dieksploitasi	Update ke 1.6.16 atau 1.7.1

cPanel: akun hosting biasa bisa menjadi root

Pada 22 September, cPanel menambal CVE-2026-87899, celah di fitur CalDAV/CardDAV yang memungkinkan akun cPanel mana pun menjalankan kode sebagai root. cPanel menyebut dampaknya sebagai “kendali penuh atas server”. Rilis yang sama menutup CVE-2026-68490 (membaca kalender dan kontak akun lain) dan CVE-2026-87900 di WP Toolkit (mengubah database akun lain).

Perbaikan ada di cPanel & WHM 11.134.0.57, 11.136.0.41, dan 11.138.0.8, serta WP Toolkit 6.11.3. Hingga 23 September belum ada laporan eksploitasi, tetapi celah ini sangat berbahaya di server bersama. cPanel kembali merilis patch pada 29 September.

Tindakan: jalankan /usr/local/cpanel/scripts/upcp --force dan perbarui WP Toolkit. Tidak ada workaround, jadi dahulukan server multi-pengguna.

Plugin backup Acronis untuk cPanel dan Plesk

Acronis mengonfirmasi eksploitasi terbatas atas CVE-2026-87886 (CVSS 7,8), celah kenaikan hak akses lokal di plugin backup Acronis untuk cPanel/WHM dan ekstensi untuk Plesk. Konfirmasi ini berdasarkan satu laporan pelanggan, dan belum ada indikator kompromi yang dipublikasikan.

• Plugin cPanel & WHM sebelum build 1.9.3.1021: perbaiki ke 1.9.3 HF3.
• Ekstensi Plesk sebelum build 1.8.11.638: perbaiki ke 1.8.11.

Tindakan: update segera, terutama di server shared hosting. Batasi akses shell untuk akun yang tidak tepercaya sampai patch terpasang. Pelanggan Cloudku Cyber Protection yang memakai plugin ini di server cPanel atau Plesk dapat menghubungi tim kami untuk memastikan versinya sudah aman.

MikroTik RouterOS: “MikroTrick”

CERT Polska melaporkan pengambilalihan router MikroTik tanpa login lewat rantai dua celah, yang oleh CISA dinamai “MikroTrick”:

• CVE-2026-67277 (CVSS 8,8): autentikasi yang hilang di layanan btest, menyebabkan kebocoran memori kernel dan DoS.
• CVE-2026-86060 (CVSS 9,2): perubahan policy mask yang berujung pada kenaikan hak akses.

CISA memasukkan keduanya ke katalog KEV pada 10–11 September. MikroTik sangat banyak dipakai oleh ISP dan bisnis di Indonesia, jadi ini perlu perhatian khusus.

Tindakan: update RouterOS sesuai advisory MikroTik. Matikan atau batasi layanan btest dan akses manajemen (Winbox, WebFig, SSH) hanya dari IP tepercaya.

Di batch KEV yang sama ada ScreenConnect CVE-2026-84869 (CVSS 9,9, perbaiki ke 26.6.5) dan dua celah JFrog Artifactory.

Patch Tuesday September: rekor terbesar

Microsoft menambal lebih dari 960 celah pada 8 September, Patch Tuesday terbesar yang pernah ada saat itu. Dua zero-day sudah dieksploitasi:

• CVE-2026-81963: kenaikan hak akses ke SYSTEM lewat Windows Update Stack.
• CVE-2026-85880: heap overflow di Windows ALPC yang memungkinkan keluar dari sandbox AppContainer ke SYSTEM.

Keduanya butuh akses lokal terlebih dahulu, jadi pertahanan terhadap phishing dan pencurian kredensial tetap penting.

Tindakan: pasang update September di semua Windows dan Windows Server.

Gateway VPN: Citrix, Check Point, dan Cisco

• Citrix NetScaler, CVE-2026-88771 dan CVE-2026-88772 (CVSS 9,5). CISA mengonfirmasi eksploitasi global pada 27 September. watchTowr menunjukkan eksekusi kode sebagai root tanpa login, dan Unit 42 menghitung lebih dari 50.000 perangkat terekspos. Perbaikan: 14.1-73.37 dan 13.1-64.23. Jika ada tanda kompromi, isolasi perangkat, bangun ulang, ganti semua kredensial, dan ganti sertifikat.
• Check Point Security Gateway, CVE-2026-85102. Eksekusi kode tanpa login lewat penanganan sertifikat VPN, dieksploitasi sejak 12 September. Pasang LivePatch atau Jumbo Hotfix, atau batasi VPN site-to-site di UDP/500 dan UDP/4500 hanya untuk IP mitra.
• Cisco. Tiga produk dieksploitasi: Firepower Management Center (CVE-2026-20079 dan CVE-2026-20316, dipakai antara lain oleh operator ransomware Qilin), Secure Email Gateway (CVE-2026-76461, CVSS 9,8), dan ISE (CVE-2026-76460, CVSS 10,0). Patch ketiganya dan jangan buka antarmuka manajemen ke internet.

Roundcube: webmail di server hosting

CVE-2026-48842 (CVSS 8,1) adalah SQL injection tanpa login di plugin virtuser_query Roundcube, yang bisa membocorkan kredensial mailbox dan isi email. Patch sudah tersedia sejak Mei, tetapi Shadowserver melihat lebih dari 523.000 instance Roundcube terekspos. Update ke 1.6.16 atau 1.7.1.

Backup dan switch: Veeam dan Zyxel

• Veeam Agent for Windows, CVE-2026-32996 (CVSS 7,3): kenaikan hak akses lokal ke SYSTEM, dieksploitasi dan sudah ada PoC publik. Update sesuai advisory Veeam.
• Zyxel GS1900, CVE-2026-7273 (CVSS 8,8): 996 switch di 48 negara diambil alih sejak 17 Agustus. Update firmware dan ganti kredensial root.

BGP: pembajakan yang lolos RPKI

Pada 28–30 Agustus, prefix 162.55.80.0/24 milik Hetzner dibajak lewat BGP. Rute palsu itu berstatus RPKI valid karena ROA mengizinkan pengumuman hingga /24. Penyerang lalu menyajikan update Virtualizor berisi malware ke sejumlah kecil instalasi. Kasus ini diungkap pada 1 September, dan APNIC menerbitkan rekomendasi untuk operator jaringan pada 22 September.

Kami sudah membahasnya secara lengkap, termasuk checklist untuk pemilik prefix, di artikel BGP Hijack yang Lolos RPKI.

Kebocoran data di kawasan

• 220 juta data penumpang pesawat. Database Elasticsearch berisi data Advance Passenger Information (nama, tanggal lahir, nomor paspor, penerbangan) dari 2017 hingga April 2026 bisa diakses dengan kredensial bawaan. Server berada di jaringan Viettel di Hanoi; operatornya belum dipastikan.
• Badan Digital Jepang. Penyerang memakai celah VPN yang sebenarnya sudah ada patch-nya (tingkat keparahan sedang, bukan zero-day) untuk masuk ke platform bersama yang menghubungkan 23 kementerian. Sekitar 246.000 data mungkin bocor.

Pelajaran dari keduanya sederhana: jangan pernah membiarkan database dengan kredensial bawaan, dan tetap patch celah VPN meski tingkatnya “sedang”.

DDoS: layanan sewaan ditutup

FBI bersama kepolisian Kanada menyita domain NightmareStresser, salah satu layanan DDoS sewaan tertua yang dipakai untuk ratusan ribu serangan sejak 2022. Tidak ada rekor ukuran serangan baru di bulan September.

Dari dalam negeri: Badan PDP dan PP 33/2026

Kementerian Komunikasi dan Digital menyatakan pembentukan Badan Pelindungan Data Pribadi dipercepat. Rancangan Perpres sudah diajukan untuk ditandatangani Presiden. Sementara itu, pengawasan dijalankan oleh Komdigi. PP 33/2026 mulai berlaku pada 16 Januari 2027, dengan kewajiban antara lain catatan pemrosesan data, DPIA, pejabat pelindungan data pribadi untuk kondisi tertentu, dan notifikasi insiden dalam 3 x 24 jam.

Baca panduan lengkapnya di artikel PP 33/2026 kami.

Checklist singkat

1. Update cPanel & WHM, WP Toolkit, dan plugin backup di panel hosting.
2. Update RouterOS dan batasi akses manajemen MikroTik.
3. Pasang Patch Tuesday September.
4. Update NetScaler, Check Point, dan produk Cisco yang Anda pakai.
5. Update Roundcube dan Veeam Agent.
6. Periksa ROA prefix Anda jika Anda mengumumkan IP sendiri.
7. Mulai persiapan kepatuhan PP 33/2026.

Bagaimana Cloudku membantu

Banyak serangan bulan ini dimulai dari perangkat di tepi jaringan dan panel hosting yang terlambat ditambal. Jika server dibobol, backup yang terpisah adalah jalan pulang tercepat. Cloudku Cyber Protection menyimpan backup di luar server Anda dan menambahkan perlindungan antimalware. Untuk pemilik blok IP, prefix yang diumumkan melalui IP Transit Cloudku terdaftar di IRR dan divalidasi RPKI. Pastikan ROA Anda memakai maxLength yang ketat sebelum sesi BGP dinyalakan.