Asus Tambal Celah Kritis Router, Skor CVSS Capai 9,4

Telset.id – Asus resmi merilis pembaruan firmware untuk menambal dua kerentanan kritis pada router-nya, dengan skor tertinggi mencapai 9,4 dari 10 pada skala Common Vulnerability Scoring System (CVSS) 4.0. Kerentanan pertama, CVE-2026-14157, memungkinkan penyerang mengeksekusi perintah arbitrer melalui file konfigurasi VPN client yang diunggah ke antarmuka manajemen web router. Celah kedua, CVE-2026-13313, mendapat skor 8,9 dan memanfaatkan kode debug yang masih aktif untuk melewati pemeriksaan keamanan, mengaktifkan Telnet, serta berpotensi menjalankan perintah dengan hak akses root.

Dampak dari celah ini tidak main-main. Menurut penjelasan Asus, penyerang dapat mengunggah file konfigurasi VPN yang telah dimodifikasi, baik oleh pengguna maupun penyerang yang sudah masuk ke sistem, melalui halaman admin web router. Masalah muncul ketika teks yang dirancang khusus di dalam file tersebut dibaca sebagai instruksi pemformatan, bukan sebagai data biasa. Kondisi ini membuat penyerang bisa mengeksekusi perintah arbitrer pada perangkat.

Sementara itu, celah Telnet bergantung pada aktivasi layanan terlebih dahulu sebelum perintah dijalankan. Perintah tersebut berpotensi memengaruhi perangkat lain yang terhubung ke router. Kedua kerentanan ini menyasar pengguna yang mengimpor file konfigurasi VPN langsung ke router, bukan pengguna aplikasi VPN di laptop atau ponsel. Perlu dicatat, VPN sendiri umum digunakan untuk melewati pembatasan dan mengakses konten yang tidak terjangkau, namun risiko di sini spesifik pada impor konfigurasi ke perangkat router.

Asus tidak menyebutkan model spesifik, melainkan seri firmware yang terdampak. Untuk kedua bug tersebut, seri firmware 3.0.0.6_102 terpengaruh. Khusus celah Telnet, seri 3.0.0.4_386 dan 3.0.0.4_388 juga masuk dalam daftar terdampak. Langkah mitigasi yang direkomendasikan Asus mencakup penggunaan kata sandi admin yang kuat dan unik, minimal 10 karakter, dengan kombinasi huruf besar, angka, dan simbol. Asus juga menyarankan pengguna hanya mengimpor file konfigurasi VPN client dari sumber tepercaya.

Untuk mengurangi risiko sementara, Asus melarang menjalankan skrip, alat, atau perintah dari sumber tidak tepercaya pada perangkat apa pun di jaringan lokal. Perusahaan juga mengingatkan bahwa penyerang dapat menggunakan rekayasa sosial untuk menipu administrator. Pola serangan pada celah VPN ini bukan hal baru. Titik masuknya sama dengan kerentanan yang diungkap VulnCheck pada 2024, CVE-2024-0401, yang memanfaatkan profil OVPN yang dimodifikasi. Hal ini menjadikan fitur impor file konfigurasi melalui halaman admin web sebagai titik lemah yang berulang.

Sebagai merek populer, Asus memang menjadi target yang menarik bagi penyerang. Sebelumnya, kampanye AyySSHush memanfaatkan bypass autentikasi, login brute-force, dan celah command-injection (CVE-2023-39780) untuk memasang backdoor pada lebih dari 9.000 router. Backdoor tersebut bahkan mampu bertahan melewati pembaruan firmware. Kasus ini menjadi pengingat bahwa serangan terhadap perangkat jaringan bukan sekadar insiden sekali lewat.

Selain dua perbaikan router, Asus juga merilis pembaruan untuk 13 motherboard. Celah pada motherboard ini memungkinkan penyerang yang berada dekat secara fisik untuk membaca atau menulis memori sistem arbitrer dengan menyisipkan perangkat yang dirancang khusus. Kerentanan ini berdampak pada banyak motherboard Asus seri Z390 dan C246, dengan tingkat keparahan tinggi 7,0 dari 10, lebih rendah dibanding celah router. Celah ini juga memerlukan akses fisik.

Bagi pengguna yang berisiko atau berpotensi berisiko, pembaruan firmware dapat ditemukan di halaman dukungan Asus atau halaman produk masing-masing. Untuk motherboard terdampak, perbaikannya adalah BIOS versi 1502 untuk WS Z390 Pro dan 2203 untuk 12 board lainnya. Router yang sudah mencapai akhir masa pakai (end of life) tidak akan menerima firmware baru. Untuk perangkat tersebut, Asus menyarankan penggunaan kata sandi login dan Wi-Fi yang kuat serta unik.

Langkah pengamanan ini sejalan dengan tren penanganan kerentanan yang tengah berlangsung di industri. Sejumlah organisasi keamanan juga gencar mendorong patch cepat terhadap celah yang aktif dieksploitasi, seperti yang terlihat pada upaya patch celah Linux dalam tenggat singkat. Di sisi lain, ancaman berbasis perangkat lunak berbahaya juga terus meningkat, termasuk pada perangkat mobile, sebagaimana terlihat dari maraknya malicious app Play Store yang menginfeksi jutaan perangkat.

Pengguna router Asus disarankan segera memeriksa versi firmware perangkat dan melakukan pembaruan jika tersedia. Penggunaan kata sandi yang kuat, kehati-hatian dalam mengimpor file konfigurasi, serta kewaspadaan terhadap upaya rekayasa sosial menjadi langkah penting untuk melindungi jaringan rumah maupun kantor. Bagi pemilik router yang sudah tidak lagi menerima dukungan firmware, pertimbangan untuk mengganti perangkat menjadi relevan mengingat risiko keamanan yang terus berkembang.