Depok, 15 April 2025 — Badan Siber dan Sandi Negara (BSSN) mengeluarkan surat edaran bernomor 2459/BSSN/D3/KS.01.02/04/2025 yang berisi himbauan keamanan siber kepada seluruh instansi pemerintah pusat dan daerah. Himbauan tersebut menyoroti ancaman celah keamanan kritis pada layanan Windows Remote Desktop Service yang memungkinkan penyerang mengeksekusi kode berbahaya dari jarak jauh.

Surat yang bersifat segera ini dikeluarkan untuk mendorong kewaspadaan seluruh instansi terhadap peningkatan insiden siber, sekaligus mengantisipasi kerentanan yang dapat disalahgunakan untuk melakukan Remote Code Execution (RCE). Kerentanan ini telah menjadi perhatian global setelah dipublikasikan dalam beberapa buletin keamanan, termasuk Microsoft Patch Tuesday April 2025. Berikut merupakan adalah penjelasan terkait jenis kerentanan yang telah diidentifikasi:

1. CVE-2025-27480 - Use After Free pada Remote Desktop Gateway

Kerentanan ini terjadi pada komponen Remote Desktop Gateway (RD Gateway) akibat kesalahan dalam pengelolaan memori, yang menyebabkan kondisi race condition. Hal ini memungkinkan penyerang untuk menyisipkan dan mengeksekusi kode arbitrer pada sistem target. Eksploitasi kerentanan ini dapat dilakukan dari jarak jauh tanpa memerlukan autentikasi maupun interaksi pengguna, meskipun memerlukan timing yang presisi. Meskipun demikian, ancaman ini tetap sangat berbahaya.

2. CVE-2025-27487 - Heap-Based Buffer Overflow pada Remote Desktop Client

Kerentanan ini ditemukan pada aplikasi Remote Desktop Client dan disebabkan oleh kesalahan pengelolaan buffer pada memori heap. Penyerang dapat memanfaatkan celah ini dengan memodifikasi server RDP sedemikian rupa, sehingga saat pengguna terhubung, kode berbahaya dapat dijalankan di perangkat pengguna. Seperti halnya kerentanan pertama, eksploitasi ini tidak memerlukan hak akses khusus dan sangat membahayakan pengguna yang tidak waspada.

“Ancaman ini sangat nyata. Layanan Remote Desktop yang umumnya digunakan untuk akses jarak jauh justru bisa dimanfaatkan oleh pelaku untuk mengambil alih kendali sistem,” tegas isi himbauan.

BSSN merujuk pada sejumlah dasar hukum seperti Peraturan Presiden Nomor 28 Tahun 2021 serta Keputusan Kepala BSSN Nomor 722 Tahun 2024 mengenai pembentukan Tim Tanggap Insiden Siber (Gov-CSIRT). Selain himbauan teknis, surat ini juga melampirkan daftar lengkap lebih dari 500 lembaga pemerintah dan daerah penerima edaran.

Lembaga yang disebut dalam surat, mulai dari kementerian, LPNK, hingga pemda tingkat kota/kabupaten, diminta segera melakukan pemeriksaan sistem dan memperbarui perangkat lunak sesuai panduan resmi dari Microsoft atau vendor terpercaya.

BSSN menutup surat dengan mengapresiasi kerja sama antar instansi dalam menjaga keamanan ruang siber nasional.