Keamanan Perangkat Edge: Mengapa VPN dan Firewall Jadi Target Utama

Keamanan perangkat edge, yaitu VPN, gateway, dan firewall yang menjaga pintu masuk jaringan, menjadi sorotan utama sepanjang 2025 dan 2026 karena produk Citrix, Fortinet, Ivanti, SonicWall, Palo Alto Networks, dan Cisco berulang kali dieksploitasi, sering kali sebagai zero-day. Artikel ini menjelaskan mengapa perangkat itu jadi target favorit dan apa yang bisa Anda lakukan, per 29 Oktober 2026.

Mengapa perangkat edge jadi target utama

Ada beberapa alasan yang saling menguatkan. Pertama, perangkat ini berada di batas jaringan dan harus dapat dijangkau dari internet, sehingga penyerang tidak perlu phishing atau akses awal lain. Kedua, ia memegang rahasia yang bernilai tinggi: kredensial VPN, sertifikat, kunci, dan konfigurasi jaringan. Ketiga, sistem operasinya biasanya tertutup sehingga EDR sulit dipasang dan visibilitasnya terbatas. Keempat, penambalannya sering butuh jendela pemeliharaan dan downtime, sehingga banyak organisasi menundanya. Kombinasi ini membuat satu celah di satu produk bisa dimanfaatkan untuk ribuan organisasi sekaligus.

Pola lain yang berulang: eksploitasi terjadi sebelum atau bersamaan dengan pengumuman patch (zero-day), sehingga perangkat yang sudah ditambal pun belum tentu bersih. Jika istilah ini baru, baca penjelasan kerentanan zero-day.

Contoh nyata dari 2025 sampai 2026

• Citrix NetScaler ADC dan Gateway. CISA memperingatkan pada 27 September 2026 bahwa CVE-2026-88771 dan CVE-2026-88772 adalah zero-day kritis yang masing-masing bisa memungkinkan eksekusi kode jarak jauh, dan pelaku mengeksploitasinya secara global. Keduanya masuk KEV pada hari yang sama, dengan skor CVSS 3.1 dari NVD 9.8 dan 8.1. CVE-2026-88779, celah pada NetScaler yang dikonfigurasi sebagai SAML Service Provider atau Identity Provider, bisa menyebabkan denial of service dan, menurut CISA, dapat dipakai untuk memaksa reboot yang membantu menjalankan kode yang sebelumnya disuntikkan lewat CVE-2026-88771. Celah ini masuk KEV pada 4 Oktober. Lebih lanjut ada di artikel Citrix dan NetScaler.
• FortiCloud SSO. CVE-2026-24858 adalah bypass autentikasi lewat jalur alternatif yang dipakai dua akun FortiCloud berbahaya untuk membuat admin lokal pada FortiGate yang menjalankan versi terbaru saat itu. CISA memasukkannya ke KEV pada 27 Januari 2026, dan Fortinet mulai merilis perbaikan sekitar 28 Januari, dimulai dari FortiOS 7.4.11 lalu 7.6.6. Shadowserver mencatat kurang dari 10.000 instans terpapar dengan SSO aktif, turun dari lebih dari 26.000 pada akhir Desember 2025.
• Ivanti Connect Secure. CVE-2026-104935 (bypass autentikasi lewat spoofing yang berujung eksekusi perintah, CVSS 3.x 8.6 pada catatan CVE) diumumkan 13 Oktober 2026 dan masuk KEV pada hari yang sama. Perbaikannya ada di 25.1.1.2, 25.1.3.0, 25.1.3.1, dan 22.8R2.5. Menurut Rapid7, Volexity melaporkan pelaku juga memakai celah eskalasi hak akses yang saat itu belum ditambal, dan Rapid7 menyarankan untuk tetap mencari tanda kompromi setelah patch karena Ivanti belum memiliki indikator kompromi yang andal.
• SonicWall SMA1000. CVE-2026-83548 (SSRF pra-autentikasi, CVSS 3.1 10.0 menurut penilaian CISA-ADP di NVD) dan CVE-2026-83549 (injeksi perintah OS di konsol manajemen) bisa dirantai menjadi eksekusi kode tanpa login, menurut Rapid7. SonicWall mengonfirmasi eksploitasi pada 1 September 2026, dan katalog CISA mencatat keduanya masuk KEV pada 2 September.
• Palo Alto PAN-OS GlobalProtect. CVE-2026-0257 hanya berdampak bila fitur authentication override aktif dan sertifikat cookie-nya dipakai bersama fitur lain. Menurut Rapid7, skor CVSS 4.0 awal dari Palo Alto adalah 4.7 (menengah), lalu dinaikkan ke 7.8 pada 29 Mei 2026, setelah Rapid7 mengamati eksploitasi sejak 17 Mei. Pada hari yang sama celah ini masuk KEV, dan katalog CISA menandainya diketahui dipakai dalam kampanye ransomware. Pelajaran: skor awal bisa terlalu rendah untuk celah di perangkat edge.
• Cisco ASA dan FTD (ArcaneDoor). CVE-2025-20333 dan CVE-2025-20362 mendorong CISA menerbitkan Emergency Directive 25-03 pada 25 September 2025. Pada pembaruan November 2025, CISA menemukan sebagian instansi memperbarui ke versi yang masih rentan terhadap aktivitas tersebut, dan Shadowserver mencatat sekitar 32.000 perangkat belum ditambal, turun dari sekitar 48.000 pada awal Oktober.

Prinsip pertahanan untuk perangkat edge

1. Kecilkan paparan antarmuka manajemen

Antarmuka admin tidak perlu terbuka ke internet. Batasi akses lewat jaringan manajemen terpisah, VPN, atau daftar IP yang diizinkan. Untuk kasus FortiCloud SSO, panduan yang dikutip Help Net Security menyarankan pembatasan akses admin dengan kebijakan local-in. Fitur yang tidak dipakai, misalnya SSO cloud atau authentication override, sebaiknya dimatikan karena beberapa celah di atas hanya berlaku saat fitur tersebut aktif.

2. Tambal darurat, lalu anggap perangkat belum tentu bersih

Perlakukan patch perangkat edge sebagai perubahan darurat di luar siklus bulanan, terutama untuk yang berstatus KEV. Namun jangan berhenti di patch: CISA dalam panduan Citrix meminta pemeriksaan indikator kompromi sebelum menambal dan mengamankan bukti forensik, karena pembaruan bisa mengurangi visibilitas. Jika kompromi dicurigai, pulihkan dari cadangan bersih sebelum kompromi, lalu ganti semua rahasia yang dipulihkan seperti kata sandi lokal, kunci enkripsi, dan sertifikat SSL.

3. Log ke luar perangkat

Log lokal di perangkat edge cepat berputar dan bisa dimatikan penyerang. CISA menyarankan meneruskan log ke SIEM atau penyimpanan terpusat. Aktifkan juga peringatan untuk pembuatan akun admin baru, login lokal yang tidak biasa, dan perubahan konfigurasi. Untuk dasar-dasarnya, lihat penjelasan SIEM.

4. Rencanakan penggantian perangkat usang

CISA meminta agar perangkat ASA yang sudah habis masa dukungnya diganti dengan model yang masih didukung. Susun inventaris dengan tanggal end-of-support, anggarkan penggantian sebelum vendor berhenti merilis patch, dan jangan menjalankan perangkat edge tanpa dukungan vendor di perbatasan jaringan.

5. Jangan jadikan perimeter satu-satunya pertahanan

Segmentasi jaringan, autentikasi tahan phishing, dan akses minimum membatasi dampak jika gerbang jebol. Prinsip Zero Trust memang dirancang untuk kasus ini. Pahami juga cara kerja firewall agar kebijakan yang Anda tulis sesuai kebutuhan.

Relevansi bagi organisasi di Indonesia

Produk-produk di atas lazim dipakai perusahaan menengah dan besar, termasuk untuk akses jarak jauh karyawan, sehingga celahnya relevan bagi tim IT di Indonesia. Tiga langkah awal yang realistis: buat daftar semua perangkat edge dan versinya, tentukan siapa yang menerima peringatan vendor dan CISA untuk tiap perangkat, dan tetapkan prosedur tertulis untuk patch darurat beserta pemeriksaan kompromi. Untuk menilai paparan eksternal dan konfigurasi perangkat Anda secara independen, layanan asesmen Linuxhackingid dapat membantu.

Pertanyaan yang Sering Diajukan

Apakah perangkat yang sudah ditambal aman?

Belum tentu. Banyak kasus di atas dieksploitasi sebelum patch tersedia. Setelah menambal, tetap cari akun admin asing, perubahan konfigurasi, dan indikator dari vendor atau CISA.

Apakah mengganti vendor menyelesaikan masalah?

Tidak. Semua vendor yang disebut di artikel ini pernah terdampak. Yang membuat perbedaan adalah paparan yang kecil, patch cepat, logging, dan kesiapan respons.

Apa yang harus dilakukan pertama kali jika curiga perangkat tersusupi?

Amankan bukti (log dan snapshot) sebelum memperbarui, ikuti panduan vendor, pulihkan dari cadangan bersih, dan ganti semua kredensial yang pernah melewati perangkat tersebut.

Kesimpulan

Perangkat edge adalah pintu depan yang sering diketuk penyerang, dan 2026 menegaskan hal itu lewat Citrix, Fortinet, Ivanti, SonicWall, dan Palo Alto. Kurangi paparan, tambal cepat, kirim log ke luar, dan rencanakan penggantian. Untuk membangun kemampuan tim Anda, lihat pelatihan Linuxhackingid. Rujukan: peringatan CISA tentang NetScaler, Rapid7 tentang Ivanti, dan Help Net Security tentang ED 25-03.