Puluhan Ribu Server Pemerintah dan Perusahaan Rawan Dibobol Hacker

Puluhan ribu server milik pemerintah dan perusahaan di berbagai negara dilaporkan tengah rawan dibobol oleh peretas (hacker).

Hal ini terjadi karena ada dua celah keamanan berbahaya (vulnerability) baru di perangkat lunak Microsoft SharePoint.

Microsoft SharePoint adalah sebuah platform kolaborasi dan manajemen dokumen yang banyak digunakan oleh institusi pemerintah, universitas, dan perusahaan swasta secara global.

Dalam kasus ini, yang berpotensi diserang adalah SharePoint versi server (on-premise). Versi ini diinstal dan dijalankan di server milik perusahaan sendiri, biasanya di ruang server atau data center internal.

Sementara SharePoint Online (versi cloud) tidak terdampak karena dikelola langsung oleh Microsoft dan infrastrukturnya berbeda.

Di Sharepoint on-premise ditemukan dua vulnerability yang diidentifikasi sebagai CVE-2025-53770 dan CVE-2025-53771.

Keduanya memungkinkan hacker mengakses server secara ilegal dan menjalankan perintah dari jarak jauh, bahkan tanpa perlu login terlebih dahulu.

Serangan jenis ini dikenal sebagai remote code execution (RCE), salah satu bentuk serangan paling berbahaya dalam dunia siber.

Penyerang memanfaatkan dua celah tersebut untuk menyisipkan file berbahaya ke dalam server korban, salah satunya bernama spinstall0.aspx.

File ini digunakan untuk mencuri MachineKey, yaitu semacam "kunci rahasia" yang dipakai server untuk mengenkripsi data agar aman.

Kalau hacker sudah dapat kunci ini, mereka bisa masuk lagi ke server korban kapan saja. Mereka juga bisa menyamar sebagai sistem resmi dan menjalankan perintah berbahaya secara bebas.

Ilustrasi Microsoft SharePoint.

Tak hanya itu, SharePoint sering kali terhubung dengan layanan penting seperti e-mail Outlook dan Microsoft Teams.

Alhasil, dampaknya bisa makin serius karena hacker dapat mengakses informasi sensitif, mencuri data, hingga mengumpulkan kata sandi dari sistem internal.

Bahkan, ada laporan bahwa hacker berhasil “menghijack” (membajak) repositori publik berisi dokumen layanan masyarakat milik salah satu lembaga pemerintah di AS, sehingga akses terhadap dokumen tersebut hilang sepenuhnya.

Yang lebih mengkhawatirkan, peretas juga bisa memasang backdoor, celah tersembunyi yang bisa dipakai masuk lagi di masa depan.

Jadi, meskipun tambalan keamanan sudah diinstal, sistem yang sudah terinfeksi tetap rentan jika tidak dibersihkan secara menyeluruh.

Siapa saja yang jadi korban?

ilustrasi hacker.

Menurut Eye Security, perusahaan keamanan siber asal Belanda, ada puluhan ribu server SharePoint di seluruh dunia yang rawan dibobol akibat celah keamanan ini.

Hingga kini, dilaporkan ada lebih dari 85 server telah terkonfirmasi berhasil ditembus sejak serangan dimulai pada 18 Juli lalu, sebagaimana dihimpun dari Bleeping Computer. Di antaranya:

• Universitas swasta di California, AS
• Perusahaan energi di negara bagian yang sama
• Perusahaan fintech di New York
• Lembaga pemerintah negara bagian Florida
• Instansi pemerintahan di Eropa
• Universitas di Brasil
• Lembaga pemerintah di Spanyol
• Instansi lokal di Albuquerque, AS

Ada juga dua lembaga federal di Amerika Serikat dilaporkan turut mengalami pelanggaran data, meskipun namanya dirahasiakan.

Microsoft rilis patch keamanan

Ilustrasi Microsoft SharePoint.

Microsoft sudah merilis patch atau pembaruan keamanan untuk SharePoint versi Subscription Edition (SSE).

Namun, dua versi lain yaitu SharePoint 2016 dan 2019 masih belum mendapatkan tambalan dan saat ini masih dalam tahap pengembangan.

Bagi organisasi yang belum bisa menginstal tambalan, Microsoft menyarankan langkah-langkah mitigasi berikut:

• Jika organisasi Anda menggunakan SharePoint versi on-premise, segera cek apakah sistem telah diperbarui dengan patch terbaru dari Microsoft.
• Ganti MachineKey setelah pembaruan diterapkan. Ini penting agar peretas yang sudah mencuri kunci lama tidak bisa masuk kembali.
• Lakukan pemeriksaan log server untuk mencari tanda-tanda penyusupan, seperti file spinstall0.aspx.
• Bila ditemukan, segera putuskan koneksi internet dan lakukan investigasi mendalam terhadap seluruh jaringan.
• Ikuti panduan keamanan dari Microsoft dan CISA (lembaga keamanan siber AS) untuk memitigasi risiko lebih lanjut.
• Aktifkan AMSI (Antimalware Scan Interface). Fitur ini memungkinkan server mendeteksi dan memblokir skrip atau kode berbahaya secara real-time.
• Pasang antivirus Defender di semua server SharePoint. Untuk membantu memantau dan mencegah aktivitas mencurigakan.

Saat ini, lembaga keamanan siber dari berbagai negara, termasuk CISA di Amerika Serikat, sedang menyelidiki dan membantu koordinasi perbaikan dan penanggulangan serangan, sebagaimana dihimpun KompasTekno dari Washington Post, Senin (21/7/2025).