MikroTik MikroTrick: CERT Polska เตือน RouterOS ถูกโจมตีจริง ต้องแพตช์ทันที

ถ้าออฟฟิศหรือบ้านมี MikroTik เปิด SSH ออกอินเทอร์เน็ต วันนี้ไม่ใช่ข่าวที่เลื่อนไปอ่านพรุ่งนี้

CERT Polska เปิดเผยชุดช่องโหว่ RouterOS และตั้งชื่อห่วงโซ่สำคัญว่า MikroTrick โดยยืนยันว่ามีการใช้จริงกับเครื่องที่ SSH เปิดสู่สาธารณะ

ผมสรุปเฉพาะระดับผู้ดูแลระบบ ไม่ลงรายละเอียดโจมตี

สิ่งที่กระทบ

สองตัวหลักที่รวมกันเป็น MikroTrick มีคะแนน CVSS 9.2 ทั้งคู่

• CVE-2026-67276: SSH authentication bypass — RouterOS ตรวจ RSA public key ไม่ครบ ถ้าผู้โจมตีรู้ username กับ modulus ของคีย์ อาจล็อกอินได้โดยไม่มี private key
• CVE-2026-86060: จัดการ username ที่ขึ้นต้นด้วยอักขระต้องห้ามผิด ทำให้ยกระดับสิทธิ์ในเซสชัน SSH ได้จนถึงแอดมิน

ยังมี CVE อื่นในชุดเดียวกัน เช่น bandwidth-test และ WebFig แต่จุดที่ต้องรีบคือห่วงโซ่ SSH นี้

รุ่นแพตช์

MikroTik ออกแก้ใน

• 7.25beta3
• 7.24.2
• 7.23.4
• 6.49.21

หลังอัปเดต ระบบสแกนคอนฟิกตอนบูต หากเจอร่องรอยที่รู้จักจะปิดรายการน่าสงสัย เขียนล็อกวิกฤต และตั้งเครื่องหมาย Flagged ใน /system/device-mode/print

ไม่มี Flagged ไม่ได้แปลว่าปลอดภัย แปลแค่ว่าไม่เจอแพทเทิร์นที่ vendor รู้จัก

สิ่งที่ควรทำวันนี้

1. อัป RouterOS เป็นรุ่นแก้ด้านบน
2. รัน /system/device-mode/print แล้วดู Flagged
3. ไล่ผู้ใช้สคริปต์ scheduler proxy อุโมงค์ที่ไม่รู้จัก
4. ถ้ายังแพตช์ไม่ทัน ให้ปิดหรือจำกัด SSH / WWW / bandwidth-test จากนอกเครือข่ายที่เชื่อถือได้

CERT Polska ระบุสัญญาณในล็อก เช่น login failure for user -2 และการสร้างผู้ใช้ ops พร้อม IP ที่เกี่ยวข้อง แต่การไม่มีสัญญาณเหล่านี้ก็ไม่ได้ตัดการบุก

ถ้าสงสัยถูกยึด ให้แยกเครื่องจากเครือข่าย เก็บล็อกกับคอนฟิกก่อน แล้วรีเซ็ตโรงงานและตั้งใหม่จากคอนฟิกที่เชื่อถือได้ อย่ารีสโตร์แบ็กอัปเต็มจากเครื่องที่อาจโดนแล้ว

Recap

• อัปเป็น 7.24.2 / 7.23.4 / 6.49.21 หรือ 7.25beta3 ตามสายรุ่น
• ตรวจ Flagged และบัญชี/สคริปต์แปลก
• อย่าเปิด SSH สู่สาธารณะโดยไม่จำเป็น
• ไม่ทดลอง exploit บนเครื่องจริง