Router rumah dan Wi-Fi awam: lima kelemahan yang sedang dieksploitasi, dan semakan 25 minit pada peranti sendiri

Router di rumah selalunya dipasang sekali, diisi kata laluan Wi-Fi, kemudian tidak disentuh lagi selama bertahun-tahun. Empat pengumuman antara 23 September dan 9 Oktober 2026 menunjukkan masalahnya: peranti yang tidak pernah dikemas kini itulah yang paling banyak dibuka. Dalam tempoh tiga minggu itu, D-Link mengaku tiada pembetulan untuk satu kelemahan, ASUS mengemas kini dua buletin router, MikroTik menambah satu pembetulan susulan kerana pembetulan pertama tidak lengkap, dan CyberSecurity Malaysia menyenaraikan empat advisori bertarikh 9 Oktober 2026.

Yang penting untuk pembaca bukan nama kod atau nombor CVE, tetapi tiga soalan yang konkrit. Versi apa yang sedang berjalan dalam router di rumah? Adakah port pengurusan itu terbuka kepada internet? Dan bila kali terakhir peranti itu benar-benar dikemas kini? Semua tiga boleh dijawab dalam masa kurang 25 minit dengan menu yang sudah ada dalam router.

Empat pengumuman antara 23 September dan 9 Oktober 2026

D-Link membuka siri ini pada 23 September 2026. Syarikat itu mengesahkan kelemahan CVE-2026-86296 dalam router dua jalur DIR-822A dengan skor CVSS 10.0, iaitu markah tertinggi yang sistem penilaian itu boleh beri. Kod bukti konsep sudah tersebar secara terbuka, dan tiada tampalan akan datang kerana DIR-822A sudah melepasi hayat jualan. Nasihat rasmi D-Link bukan lagi tampalan, tetapi penggantian peranti; sementara menunggu, peranti itu sepatutnya tidak lagi menghadap internet secara langsung.

ASUS mengemas kini tiga buletin keselamatannya pada 1 Oktober 2026, dua daripadanya melibatkan router. Yang paling serius ialah CVE-2026-14157 dengan skor CVSS v4.0 9.4: fail konfigurasi klien VPN yang dimuat naik melalui antara muka pengurusan web boleh membuat peranti menjalankan arahan, dan ia melibatkan siri firmware 3.0.0.6_102. Kelemahan kedua, CVE-2026-13313, berkedudukan 8.9 dan melibatkan siri 3.0.0.4_386, 3.0.0.4_388 dan 3.0.0.6_102. ASUS menyarankan kata laluan pentadbir sekurang-kurangnya 10 aksara dengan huruf besar, nombor dan simbol, dan supaya fail konfigurasi VPN hanya diambil daripada sumber yang boleh disahkan, bukan fail yang dikongsi orang di forum.

MikroTik pula menunjukkan mengapa tarikh pembetulan perlu disemak dua kali. Pembetulan asalnya keluar pada 3 September 2026, tetapi pada 6 Oktober 2026 MikroTik mengemas kini pengumumannya: enam kelemahan dikeluarkan nombornya, dan pembetulan bagi satu daripadanya, CVE-2026-67278 (sijil TLS dan kunci hos SSH palsu boleh diterima oleh router), didapati tidak lengkap dalam 7.24.2 dan 7.23.4. Versi dengan pembetulan penuh ialah 7.24.3 dan 7.23.6. CERT Polska menamakan gabungan dua kelemahan SSH itu MikroTrick, mengesahkan ia sudah dieksploitasi, dan merekodkan serangan berjaya yang datang dari alamat 82.192.72.4 sejak sekurang-kurangnya 2 September 2026. Poland mengeluarkan pengesyoran rasmi kepada entiti dalam sistem keselamatan sibernya pada 2 Oktober 2026.

• ▸ RouterOS 7.25 beta 3, 7.24.3, 7.23.6 atau 6.49.21 ke atas dianggap sudah mengandungi semua pembetulan.
• ▸ RouterOS 6 hanya terjejas oleh sebahagian kelemahan, tetapi 6.49.21 tetap perlu dipasang.
• ▸ Selepas menaik taraf, periksa log untuk status Flagged dan cari pengguna, skrip atau tugas berjadual yang tidak dikenali.
• ▸ Selepas panel pengurusan (WebFig), SSH, WinBox dan servis bandwidth-test ditutup dari internet, uruskan router melalui VPN seperti WireGuard sahaja.

Bukti dari pengeluar lain menunjukkan pembetulan yang tidak disenaraikan pun berlaku. Bagi Buffalo WSR-300HP dan WEX-G300, catatan perubahan versi 2.55 (25 Ogos 2026) dan 1.71 (3 September 2026) hanya menyebut pembaikan berkaitan alamat IP dan pengesanan gelung, sedangkan kedua-dua keluaran itu juga membawa pembetulan keselamatan bagi CVE-2026-86530. Kesimpulannya mudah: nilai keselamatan peranti berdasarkan nombor versi dan tarikh keluaran, bukan catatan perubahan.

Kenapa router rumah berbaloi digodam: 24 kelemahan dalam satu kempen

Fortinet menerbitkan analisis perisian hasad bernama ClingSTUN pada 5 Oktober 2026. Ia bukan satu kelemahan, tetapi satu kempen yang menggunakan 24 CVE untuk masuk ke peranti yang menghadap internet, ditambah tujuh lagi eksploit berkod keras untuk merebak. Titik masuk pertama ialah CVE-2022-36553 dalam router Hytec Inter HWL-2511-SS, kemudian CVE-2025-34035 dalam servis awan EnGenius, CVE-2024-23625 pada UPnP D-Link, CVE-2023-1389 pada TP-Link Archer AX21 dan CVE-2024-7029 pada AVTECH AVM1203. Nombor tahun pada CVE itu sendiri sudah bercerita: kelemahan 2022 dan 2023 masih menghasilkan peranti yang boleh dijangkiti pada 2026.

Kesan ClingSTUN bukan sekadar peranti lambat. Router, kamera dan peranti lain yang dijangkiti dijadikan nod proksi yang boleh dikawal jauh, dan pihak pengendali menyembunyikan trafik itu dengan infrastruktur STUN, iaitu protokol yang digunakan aplikasi suara dan video untuk menembusi rangkaian rumah. Kerana banyak pelayan STUN itu servis awam yang sah, trafik keluar daripada router yang dijangkiti kelihatan seperti panggilan VoIP atau sesi WebRTC biasa. Nasihat Fortinet ringkas: sediakan inventori sebenar peranti yang menghadap internet, tampal segera, dan kurangkan pendedahan yang tidak perlu.

Untuk peniaga kecil yang menjalankan kedai atau pejabat dari rumah, kosnya lebih daripada satu peranti yang dijangkiti. Alamat IP awam yang dikongsi untuk urusan pembayaran, e-mel pelanggan dan portal penghantaran juga menjadi alamat keluar aktiviti jenayah, dan itu adalah masalah reputasi serta siasatan yang tidak diminta sesiapa.

Wi-Fi awam: halaman daftar masuk hotel sebagai pintu masuk

Masalah Wi-Fi awam jarang datang daripada penyulitan radio. Ia datang daripada halaman daftar masuk atau captive portal yang setiap pengguna sudah biasa lihat di hotel dan pusat persidangan. Microsoft menerbitkan laporan kempen CaptiveCrunch pada 31 Julai 2026, dikaitkan dengan kumpulan Storm-2945, sub-kluster Midnight Blizzard atau APT29. Sejak awal Mei 2026, DNS dan trafik HTTP pada rangkaian yang diuruskan captive portal dimanipulasi supaya peranti pelawat dihantar melalui infrastruktur penyerang. Pada rangkaian yang disiasat firma ReliaQuest dan dilaporkan pada 23 Julai 2026, peranti gateway portal itu juga berfungsi sebagai penyelesai DNS kepada peranti yang menyambung, jadi menjawab permintaan laman tidak lagi memerlukan sebarang serangan pada peranti mangsa.

Dua muatan disebut dalam kes itu. CornFlake ialah perisian kawalan jauh yang menyalin dirinya ke folder svchost32 dalam %APPDATA% dan mendaftar servis bernama Cloud Sync Service, dengan tetingkap kemajuan palsu untuk menahan perhatian pengguna. ChocoShell berjalan dalam memori dan mengumpul kuki pelayar, kata laluan tersimpan, token sekali masuk Microsoft 365, serta kredensial Wi-Fi yang tersimpan dalam peranti. Yang terakhir itu penting: kata laluan Wi-Fi rumah yang pernah disambungkan telefon atau komputer riba kepada rangkaian hotel yang terjejas turut berada dalam jangkauan.

Nasihat pengeluar untuk pengguna tidak berubah sejak bertahun-tahun, tetapi kali ini ada contoh sebenar untuk dijadikan rujukan. Anggap Wi-Fi hotel, lapangan terbang dan pusat persidangan sebagai rangkaian yang tidak dipercayai. Jangan pasang apa-apa yang ditawarkan halaman portal, termasuk kemas kini pelayar, sijil, alat pembaikan atau utiliti keselamatan, kerana kemas kini sah tidak pernah sampai melalui tetingkap portal. Untuk urusan bank dan e-mel pekerjaan, data mudah alih telefon atau hotspot sendiri lebih selamat daripada Wi-Fi awam.

Semakan 25 minit pada router sendiri

• ▸ Cari nombor model pada label bawah atau belakang peranti, kemudian buka menu status sistem dan catat versi firmware serta tarikhnya. Tanpa dua maklumat ini, semua langkah lain tidak bermakna.
• ▸ Bandingkan versi itu dengan senarai pembetulan pengeluar. Untuk MikroTik, sasaran 7.24.3, 7.23.6 atau 6.49.21 ke atas. Untuk siri ASUS 3.0.0.6_102 dan 3.0.0.4_388, muat turun firmware untuk model tepat daripada laman sokongan pengeluar.
• ▸ Tutup panel pengurusan dari internet. SSH, WebFig, WinBox dan servis ujian lebar jalur pada MikroTik sepatutnya hanya boleh dicapai dari rangkaian tempatan atau melalui VPN.
• ▸ Gantikan kata laluan pentadbir dengan sekurang-kurangnya 10 aksara bercampur huruf besar, nombor dan simbol, dan jangan kekalkan nama pengguna atau kata laluan lalai pengeluar.
• ▸ Set mod penyulitan Wi-Fi kepada WPA3-Personal; jika ada peranti lama yang tidak boleh menyambung, gunakan WPA2-Personal dengan AES sebagai pilihan ganti. Elak TKIP, WEP dan mod campuran WPA/WPA2, dan matikan WPS.
• ▸ Semak satu demi satu profil VPN dan fail konfigurasi yang pernah dimuat naik ke router; buang yang asalnya tidak dapat disahkan.
• ▸ Catat versi baharu, tarikh semakan dan apa yang diubah dalam fail ringkas supaya semakan seterusnya tidak bermula dari kosong.

Tanda peranti sudah diambil alih

CERT Polska merekodkan penanda tepat dalam log RouterOS bagi serangan MikroTrick yang berjaya, dan penanda itu boleh dicari sendiri melalui menu Log:

login failure for user -2 from <ip> via ssh
user <name> added by ssh:-2@<ip>

Penanda lain ialah akaun bertauliah tinggi bernama ops yang tidak pernah dicipta sendiri, status Flagged pada log peranti, dan perubahan tetapan DNS yang tidak dilakukan sesiapa. Perlu diingat mekanisme Flagged hanya mengesan sebahagian jejak pengambilalihan: ketiadaan tanda itu bukan bukti peranti bersih. Jika penanda ini ada, anggap router sudah diambil alih, simpan bukti log, dan utamakan penggantian atau pemasangan semula firmware daripada sekadar menukar kata laluan.

Kalau router sudah tidak dikemas kini

Kes D-Link DIR-822A bukan kes terpencil, tetapi contoh paling jelas tentang apa yang berlaku apabila hayat peranti berakhir: kelemahan skor penuh diterbitkan, kod eksploit tersebar, dan tiada apa-apa yang akan ditampal. Petunjuk mudah untuk memutuskan sama ada router rumah perlu diganti ialah tarikh firmware terakhir. Jika keluaran terakhir itu sudah lebih dua tahun dan pengeluar tidak lagi menyenaraikan model tersebut dalam senarai sokongan, peranti itu berada dalam keadaan yang sama seperti DIR-822A, hanya menunggu nombor CVE.

Penggantian pula perlu disusun supaya tidak menjadi masalah baharu. Sebelum membeli, pastikan model yang dipilih masih menerima kemas kini firmware, menyokong WPA3 dan boleh dimatikan fungsi pengurusan jauhnya. Selepas dipasang, elak mengekalkan tetapan lalai, dan jangan pendekkan kata laluan hanya kerana menaipnya setiap kali terasa menyusahkan.

Rujukan dan laporan di Malaysia

CyberSecurity Malaysia menyenaraikan empat advisori Cyber999 bertarikh 9 Oktober 2026 pada portalnya: kelemahan berbilang dalam Mozilla Firefox dan Google Chrome, satu kelemahan bertahap tinggi dalam produk Apple, dan eksploitasi kelemahan dalam Citrix NetScaler ADC serta NetScaler Gateway. Itu selari dengan keadaan di peranti rumah dan pejabat kecil, kerana pelayar dan sistem pengendalian yang tidak dikemas kini masih penyumbang utama kemasukan perisian hasad selepas rangkaian ditembusi.

Insiden boleh dilaporkan kepada MyCERT melalui Cyber999, dan maklumat lanjut tersedia pada portal CyberSecurity Malaysia. Untuk peniaga kecil, salinan ringkas log router, skrin tetapan sebelum apa-apa diubah, dan tarikh setiap kemas kini adalah tiga barang yang memudahkan urusan pelaporan serta pemulihan.