RouterOS 7.24.6 Rilis: Tambal CVE-2026-98432 di Jaringan Anda
· 6 menit baca
Daftar isi6 bagian
MikroTik merilis RouterOS 7.24.6 untuk channel long-term. Changelog resminya bertanggal 30 Oktober 2026, pengumuman di forum muncul 2 November 2026, dan halaman security advisory MikroTik mencantumkan 7.24.6 sebagai versi long-term pertama yang menambal CVE-2026-98432. Di hari yang sama, jalur stable menerima 7.25.1 dengan perbaikan yang sama.
Bagi pengelola jaringan, rilis ini penting karena celahnya berada di kernel Linux yang menjadi dasar RouterOS 7, bukan di fitur tambahan. Dampaknya terasa pada router yang layanan manajemennya bisa dijangkau dari jaringan tidak tepercaya. Artikel ini merangkum isi changelog, penjelasan CVE dari MikroTik, dan langkah upgrade yang aman.
Perbaikan yang Paling Relevan buat Jaringan Produksi
Changelog 7.24.6 memuat 20 butir perubahan. Sebagian besar berupa perbaikan bug yang muncul pada v7.24, sisanya masalah lama yang baru ditutup. Berikut yang paling sering menyentuh jaringan kantor, sekolah, dan RT/RW net.
| Komponen | Perbaikan di RouterOS 7.24.6 |
|---|---|
| bridge | BPDU tidak lagi bocor ke bond dual-connected yang salah pada MLAG, masalah yang muncul sejak v7.24 |
| bridge | Trafik ber-VLAN tidak lagi ter-loop di setup MLAG pada switch seri CRS8xx |
| ipsec | Klien IKEv2 EAP-TTLS dengan trust store tidak valid, tunnel yang gagal setelah migrasi setelan QKD lama, dan tunnel yang tidak terbentuk saat address my-id dipasang di responder |
| routing-filter | Matcher community any-regexp pada atribut kosong, delete, filter, dan modify dengan daftar community regexp, serta pencocokan host di address list dengan lebih dari 64 range |
| sfp | EEPROM DAC tidak rusak lagi saat port 400G dimatikan di CRS804 dan CRS812 |
| wifi | ID asosiasi station yang sudah dilepas dipakai ulang, roaming antar AP dalam grup MLO yang sama diperbaiki pada wifi-mediatek |
| system | Stabilitas meningkat, termasuk penambalan CVE-2026-98432, dan penyimpanan konfigurasi flash berhenti membengkak akibat perubahan dinamis |
Dua butir bridge itu layak diperhatikan kalau kamu memakai MLAG di switch CRS. Gejalanya sulit dilacak karena paket tidak hilang total, tetapi muncul di jalur yang salah dan membuat diagnosa VLAN jadi membingungkan. Perbaikan ipsec juga relevan untuk kantor yang memakai tunnel antar cabang, terutama setelah migrasi dari setelan QKD lama.
CVE-2026-98432: Apa yang Sebenarnya Terjadi
MikroTik menjelaskan celah ini sebagai masalah penanganan memori pada koneksi TCP IPv4 yang membawa opsi IP tambahan. Pada kasus timing tertentu saat koneksi dibentuk, sebagian kecil memori dilepas padahal masih dipakai. Dalam banyak situasi efeknya tidak terasa. Pada kondisi terburuk, router bisa menjadi tidak stabil atau restart.
Ada tiga batasan yang membuat risiko celah ini tidak sama untuk semua perangkat. Pertama, pemicunya adalah trafik yang dikirim ke layanan TCP yang berjalan di router itu sendiri, bukan trafik yang hanya dilewatkan atau di-route. Kedua, koneksi IPv6 tidak terpengaruh. Ketiga, RouterOS 6 tidak terpengaruh sama sekali.
Pada konfigurasi default, firewall menolak trafik tak diminta yang datang dari internet, sehingga router dengan firewall bawaan tidak bisa dijangkau lewat jalur ini dari sisi WAN. Risiko naik kalau layanan manajemen atau layanan TCP lain dibuka ke jaringan tidak tepercaya, atau firewall dimatikan dan diganti aturan yang permisif.
Status perbaikan per kanal:
| Kanal | Versi yang sudah ditambal | Catatan |
|---|---|---|
| v7 stable | 7.25.1 | changelog bertanggal 2 November 2026, memuat penambalan yang sama |
| v7 long-term | 7.24.6 | changelog 30 Oktober 2026, diumumkan di forum 2 November 2026 |
| v7 development | 7.26beta5 | untuk yang mengikuti jalur beta |
| v6 stable dan long-term | tidak terpengaruh | tidak perlu upgrade karena celah ini |
Kalau perangkatmu masih di 7.24.5 atau lebih lama dan layanan manajemennya terbuka ke internet, jadwalkan upgrade. Kalau belum sempat, lakukan mitigasi di bagian bawah artikel ini.
Cara Upgrade ke RouterOS 7.24.6
Urutan berikut memakai menu dan perintah RouterOS v7. Kerjakan dari WinBox atau SSH di jaringan lokal, bukan dari koneksi yang bisa terputus di tengah proses.
- Simpan backup dan export konfigurasi, lalu unduh kedua file ke komputer lain.
/system resource print
/system backup save name=sebelum-7246
/export file=konfigurasi-7246-
Pastikan ruang penyimpanan cukup untuk mengunduh semua paket. Nilai
free-hdd-spacedari perintah pertama menjadi acuan, dan jangan mulai kalau sisa ruang tipis. -
Pilih channel long-term, lalu cek versi yang tersedia.
/system package update set channel=long-term
/system package update check-for-updates- Pasang update. Router akan restart sendiri setelah proses selesai.
/system package update install- Setelah router hidup lagi, verifikasi versi dan firmware board.
/system resource print
/system routerboard printKalau nilai current-firmware lebih rendah dari upgrade-firmware, jalankan /system routerboard upgrade lalu reboot sekali lagi.
- Periksa layanan dan antarmuka yang biasanya paling terdampak, misalnya tunnel ipsec, bridge dengan VLAN filtering, dan address list yang panjang. Langkah umum untuk kasus lain ada di panduan cara update RouterOS.
Pada jaringan dengan banyak perangkat, upgrade satu unit dulu yang fungsinya paling mirip dengan perangkat produksi. Jalankan minimal satu hari kerja sebelum menyentuh sisanya, terutama kalau ada ipsec dan MLAG di jalur tersebut.
Kalau Belum Sempat Upgrade
MikroTik menyarankan tiga hal sampai perangkat diperbarui. Batasi layanan manajemen ke alamat tepercaya, pertahankan aturan firewall default, dan pakai VPN seperti WireGuard untuk akses jarak jauh alih-alih membuka port manajemen.
Pembatasan alamat bisa dilakukan langsung dari menu service:
/ip service print
/ip service set winbox address=192.168.88.0/24
/ip service disable telnet,ftp,www,apiSesuaikan subnet di contoh dengan jaringanmu, dan lakukan dari LAN supaya tidak terkunci sendiri. Untuk router yang sesekali diakses dari luar, VPN lebih aman daripada membuka WinBox atau API ke publik. Pola firewall dan manajemen akses yang lebih lengkap ada di artikel mengamankan router MikroTik.
Cek juga port forward yang mengarah ke perangkat lain di dalam jaringan. Celah ini tidak menyerang trafik yang lewat, tetapi router yang meneruskan trafik ke server internal tetap perlu diamankan dari sisi manajemen.
Yang Berubah di Jalur Stable
Pengguna channel stable menerima 7.25.1 pada 2 November 2026. Selain penambalan CVE, rilis itu membereskan beberapa regresi yang muncul di 7.25, antara lain parameter login SSH kustom yang diabaikan, perhitungan panjang paket dhcpv4-client, durasi outage dan skala grafik di The Dude, masa berlaku alamat dari IPv6 pool setelah prefix diperbarui, querier IGMP/MLD yang mati setelah upgrade, serta packet alignment SSH saat memakai SHA-1.
Kalau kamu memilih stable, pastikan tidak melompat langsung dari 7.23.x ke 7.25.1 tanpa membaca changelog 7.25. Perubahan pada 7.25 lebih besar daripada patch long-term, dan beberapa perilaku menu ikut berubah.
Di thread pengumuman 7.24.6, pengguna menanyakan apakah changelog itu dihitung dari 7.24.5 stable dan meminta daftar perubahan dari long-term sebelumnya. Pertanyaan tersebut wajar karena perangkat yang selama ini di 7.23.8 akan menerima jauh lebih banyak perubahan dibanding perangkat yang sudah di 7.24.5. Sebelum upgrade massal, baca changelog 7.24 dan 7.24.x lain yang belum pernah kamu pasang.
Kesimpulan
RouterOS 7.24.6 bukan rilis fitur. Isinya perbaikan bug produksi dan satu penambalan keamanan yang serius kalau layanan router terbuka ke jaringan luas. Untuk perangkat di balik firewall default dan hanya diakses dari LAN, risikonya kecil, tetapi menunda upgrade tetap menyisakan celah yang sudah punya nomor CVE dan versi perbaikan resmi.
Pertanyaan yang sering diajukan
Apakah RouterOS 7.24.6 wajib dipasang?
Kalau perangkat memakai RouterOS 7 dan ada layanan TCP yang bisa dijangkau dari jaringan tidak tepercaya, sebaiknya segera dipasang. Versi ini adalah rilis long-term pertama yang menambal CVE-2026-98432, sedangkan RouterOS 6 tidak terpengaruh celah tersebut.
Apa bedanya RouterOS 7.24.6 long-term dengan 7.25.1 stable?
7.24.6 adalah patch di jalur long-term, isinya perbaikan bug tanpa perubahan besar pada cara kerja menu. 7.25.1 adalah rilis stable yang memuat penambalan yang sama plus perbaikan regresi khusus 7.25, jadi pilih salah satu sesuai kanal yang sudah kamu pakai di perangkat.
Apakah upgrade ke 7.24.6 menghapus konfigurasi router?
Upgrade normal tidak menghapus konfigurasi, tetapi backup dan export tetap wajib dibuat sebelum proses dimulai. Export berguna saat kamu perlu membandingkan setelan lama dengan kondisi setelah upgrade atau mengembalikan konfigurasi kalau ada perilaku yang tidak sesuai.
Apakah CVE-2026-98432 bisa dipicu lewat trafik yang hanya lewat di router?
Tidak. Pemicunya adalah trafik yang dikirim ke layanan TCP yang berjalan di router itu sendiri, bukan trafik yang di-route ke perangkat lain. Karena itu router dengan firewall default yang menolak trafik tak diminta dari internet tidak bisa dijangkau lewat jalur ini dari sisi WAN.
Bagaimana kalau router dikelola dari luar kota dan belum bisa upgrade?
Batasi alamat yang boleh mengakses layanan manajemen, atau matikan layanan yang tidak dipakai. Untuk akses jarak jauh, gunakan VPN seperti WireGuard daripada membuka WinBox, API, atau SSH ke internet, lalu jadwalkan upgrade pada jam sepi.
