ProxyLogon, Celah Exchange Server yang Mengguncang 2021

Bayangkan tim IT sebuah kantor yang sejak lama mengelola email sendiri dengan Microsoft Exchange di ruang server. Semuanya berjalan normal, kotak masuk terisi, kalender rapat tersinkron. Lalu suatu pagi di awal Maret 2021 muncul pembaruan keamanan darurat dari Microsoft di luar jadwal rutin, disertai peringatan bahwa celahnya sudah dipakai menyerang. Ketika tim itu memeriksa, ada file asing berekstensi .aspx di folder web Exchange yang tidak pernah mereka buat.

Kejadian seperti itu dialami banyak organisasi di seluruh dunia saat ProxyLogon terungkap. Rangkaian celah ini membuat server Exchange on-premise yang terbuka ke internet bisa diambil alih tanpa perlu password siapa pun.

Kronologi singkat

Nama ProxyLogon diberikan oleh peneliti DEVCORE, Orange Tsai, yang menemukan celah utamanya dan melaporkannya ke Microsoft pada 5 Januari 2021. Di waktu yang hampir bersamaan, perusahaan keamanan Volexity dan Dubex mengamati serangan nyata yang memakai rantai celah yang sama dan ikut melaporkannya.

Pada 2 Maret 2021, Microsoft merilis pembaruan keamanan darurat untuk Exchange Server dan menerbitkan analisis serangan. Microsoft menyatakan dengan keyakinan tinggi bahwa kampanye awal dilakukan kelompok yang mereka sebut HAFNIUM, yang dinilai disponsori negara dan beroperasi dari Tiongkok. Sehari kemudian, badan keamanan siber Amerika Serikat CISA mengeluarkan Emergency Directive 21-02 yang mewajibkan instansi federal menangani server Exchange mereka.

Setelah pengumuman, pemindaian dan eksploitasi meluas dengan cepat oleh berbagai pihak lain, tidak hanya kelompok awal. Inilah yang membuat ProxyLogon begitu mengguncang: jarak antara pengumuman patch dan serangan massal sangat pendek.

Empat celah dalam satu rantai

ProxyLogon sebenarnya bukan satu celah, melainkan rangkaian. Microsoft menjelaskan empat CVE yang dipakai dalam serangan, dengan peran masing-masing sebagai berikut.

Kuncinya ada di baris pertama. CVE-2021-26855 dinilai 9,8 oleh NVD (Microsoft memberi nilai 9,1). Lewat SSRF ini, penyerang yang belum login bisa melewati autentikasi, lalu memakai celah penulisan file untuk menaruh web shell. Begitu web shell terpasang, server bisa dikendalikan dari jarak jauh kapan saja, bahkan setelah patch dipasang bila web shell-nya tidak dihapus.

Konsep SSRF sendiri dibahas lebih lengkap di artikel SSRF, celah yang membuat server menyerang dirinya sendiri.

Apa yang dilakukan penyerang setelah masuk

Menurut analisis Microsoft, aktivitas setelah eksploitasi meliputi pemasangan web shell ASP, pengambilan isi memori proses LSASS untuk mencuri kredensial, ekspor isi kotak surat lewat PowerShell Exchange, pengemasan data curian dengan 7-Zip, dan pengunduhan buku alamat offline. Semua itu dilakukan dengan alat yang umum tersedia, sehingga tidak mudah dibedakan dari aktivitas administrasi biasa.

Bagi organisasi, artinya serius. Server email menyimpan percakapan internal, lampiran kontrak, data pelanggan, dan sering kali menjadi jalan masuk ke jaringan Windows yang lebih luas. Exchange Online, layanan email cloud Microsoft, dinyatakan tidak terdampak, karena masalahnya ada di perangkat lunak yang dipasang sendiri.

Patch saja tidak cukup

Pelajaran terbesar dari ProxyLogon adalah bahwa memasang patch hanya menutup pintu, tapi tidak mengusir yang sudah terlanjur masuk. Banyak server sudah disusupi sebelum pembaruan dipasang. Web shell yang tertanam tetap berfungsi setelah patch, sehingga penanganan yang benar mencakup tiga hal: memasang pembaruan, memindai tanda penyusupan seperti file .aspx asing dan akun baru, lalu mengganti kredensial yang mungkin sudah dicuri.

Pemeriksaan pasca-insiden juga sebaiknya tidak berhenti di server Exchange. Kredensial yang dicuri dari memori server bisa dipakai untuk masuk ke komputer lain di domain yang sama, sehingga log login di server lain dan akun dengan hak admin perlu ikut ditinjau.

Microsoft kemudian menyediakan alat mitigasi satu klik untuk organisasi yang belum bisa langsung memasang patch, serta skrip untuk mencari indikator kompromi. Keberadaan alat semacam ini menunjukkan betapa banyak server yang dikelola tanpa tim keamanan khusus.

Pelajaran kedua adalah soal kecepatan. Ketika celah sudah masuk katalog KEV CISA atau vendor menyebutnya sudah dieksploitasi, waktu yang tersedia hanya hitungan jam sampai hari. Prinsip yang sama berlaku untuk celah zero-day lain. Pola serupa juga terlihat di produk Microsoft on-premise lain, misalnya kasus ToolShell di SharePoint.

Masih relevan di 2026?

Ya, terutama bagi organisasi yang masih menjalankan Exchange lama. Microsoft telah mengakhiri dukungan Exchange Server 2016 dan 2019 pada 14 Oktober 2025. Setelah tanggal itu, versi tersebut tidak lagi mendapat perbaikan keamanan rutin, dan pengganti on-premise yang didukung adalah Exchange Server Subscription Edition (SE). Server Exchange lama yang dibiarkan menghadap internet tanpa pembaruan adalah sasaran empuk, baik untuk celah lama seperti ProxyLogon maupun celah baru yang tidak akan pernah ditambal.

Banyak usaha kecil dan menengah yang memasang Exchange sendiri bertahun-tahun lalu kini tidak lagi punya admin yang memahaminya. Server tetap menyala karena email masih berjalan, tetapi tidak ada yang memeriksa versi, log, atau folder web-nya. Kondisi seperti inilah yang paling rawan, karena penyusupan bisa berlangsung lama tanpa ada yang menyadari.

Pilihan realistisnya ada tiga: memperbarui ke versi yang masih didukung dan memasang setiap patch tepat waktu, pindah ke layanan email terkelola, atau setidaknya menutup akses langsung dari internet ke panel dan layanan web Exchange dengan VPN atau reverse proxy yang memeriksa autentikasi.

Ringkasnya

ProxyLogon menunjukkan bagaimana satu celah SSRF yang dirangkai dengan celah penulisan file bisa membuka server email perusahaan tanpa password. Pelajaran utamanya tetap berlaku hingga sekarang: patch secepat mungkin, periksa tanda penyusupan setelah patch, dan jangan biarkan server versi usang menghadap internet.