MikroTik RouterOS ข้ามล็อกอิน SSH ได้ CVE-2026-67279
ผู้ดูแล MikroTik RouterOS ที่เปิด SSH ให้เครือข่ายไม่น่าเชื่อถือเข้าถึงต้องจำกัดการเข้าถึงและเร่งติดตั้งแพตช์ เพราะมีการโจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- SSH ข้ามขั้นยืนยันตัวตนหลัง rekey ทำให้ผู้ที่ยังไม่ล็อกอินเปิด session และส่งคำขอ exec ได้
- Who should read
- RouterOS ตั้งแต่ 6.0.0 ก่อน 6.49.21 ตั้งแต่ 7.0.0 ก่อน 7.23.4 และตั้งแต่ 7.24 ก่อน 7.24.2 อยู่ในช่วงที่ได้รับผลกระทบ
- Fix in short
- อัปเดตเป็นรุ่นที่มีแพตช์ตามสาย release และจำกัด SSH กับ WebFig ให้เข้าถึงผ่านเครือข่ายที่เชื่อถือได้หรือ VPN
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-67279 ใน MikroTik RouterOS เป็นช่องโหว่ SSH ที่เปิด session และส่งคำขอ exec ได้ทั้งที่ยังไม่ผ่านการยืนยันตัวตน CISA เพิ่มรายการเมื่อ 25 กันยายน 2026 และกำหนดวันครบกำหนดแก้ไขไว้ที่ 28 กันยายน 2026 เรื่องนี้มีการนำไปโจมตีจริงแล้วตามรายการ KEV ของ CISA ผู้ดูแลที่เปิดช่องทางบริหารจากภายนอกควรตรวจรุ่นและการเข้าถึงก่อนเป็นอันดับแรก
เกิดอะไรขึ้น
ตาม CVE record ปัญหาเกิดตอน SSH เปลี่ยนกุญแจเข้ารหัสระหว่างการเชื่อมต่อ หรือ rekey RouterOS เข้าสู่ขั้น connection protocol ทั้งที่ไคลเอนต์ยังไม่เคยยืนยันตัวตน ผู้เชื่อมต่อเลยเปิด session channel และส่ง exec request ได้ เงื่อนไขสำคัญคือผู้โจมตีต้องเข้าถึงบริการ SSH ของอุปกรณ์ได้ ไม่จำเป็นต้องมีบัญชีผู้ใช้ก่อน
ผลที่ระบุใน record คือสร้าง เขียนทับ และประกอบไฟล์ขึ้นใหม่ในพื้นที่ไฟล์ที่ RouterOS จัดการได้ รวมถึงไฟล์ support ที่มีข้อมูล configuration และข้อมูลวินิจฉัย ตัว CNA ประเมิน CVSS 4.0 ไว้ที่ 6.9 ระดับปานกลาง (ข้อมูล CVE ฉบับ JSON)
CISA ระบุด้วยว่าช่องโหว่นี้ใช้ต่อกับ CVE-2026-86060 เพื่อโจมตีโดยไม่ต้องยืนยันตัวตนได้ ส่วน CVE-2026-86060 เป็นปัญหาจัดการ argument ในเส้นทางล็อกอิน SSH ซึ่งนำไปสู่การยกระดับสิทธิ์ตามประกาศ CERT Polska เลยควรมองทั้งเส้นทางการโจมตีประกอบกับคะแนนของช่องโหว่แต่ละตัว โดยเฉพาะอุปกรณ์ที่เปิด SSH รับการเชื่อมต่อจากเครือข่ายไม่น่าเชื่อถือ
ใครโดนและรุ่นที่แก้
ตารางนี้ใช้ช่วงรุ่นจากส่วน affected ของ CVE record และรุ่นแก้ที่ MikroTik ยืนยันสำหรับ CVE-2026-67279 ให้เทียบกับสาย release ของอุปกรณ์ ส่วน cpeApplicability ใน record เดียวกันกลับระบุว่ากระทบรุ่นก่อน 7.25.1 ซึ่งไม่ตรงกัน รุ่นแก้ด้านล่างตรงกับทั้งคำอธิบายของ CNA และประกาศ CERT Polska
| สาย RouterOS | ช่วงที่ได้รับผลกระทบ | รุ่นที่มีแพตช์ |
|---|---|---|
| 6.x Long-term | ตั้งแต่ 6.0.0 แต่ต่ำกว่า 6.49.21 | 6.49.21 |
| 7.x Long-term | ตั้งแต่ 7.0.0 แต่ต่ำกว่า 7.23.4 | 7.23.4 |
| 7.24 Stable | ตั้งแต่ 7.24 แต่ต่ำกว่า 7.24.2 | 7.24.2 |
ประกาศ MikroTik ยังระบุแพตช์ใน 7.25 beta 3 ด้วย ตารางนี้แสดงรุ่นแก้เฉพาะช่องโหว่นี้ สำหรับการเลือกปลายทางอัปเกรดควรอ่านคำแนะนำผู้ผลิตประกอบ: ประกาศที่ปรับปรุงเมื่อ 6 ตุลาคม 2026 แนะนำ 7.24.3 หรือ 7.23.6 สำหรับสาย 7 เพราะแพตช์ของอีกช่องโหว่หนึ่งคือ CVE-2026-67278 ใน 7.24.2 และ 7.23.4 ยังไม่ครบถ้วน
ต้องทำอะไร
ตรวจเลขรุ่นและ update channel ของแต่ละอุปกรณ์ สำรอง configuration ก่อนเปลี่ยนแปลง แล้วใช้เมนู Check for updates เลือก release ที่มีแพตช์และเหมาะกับสายใช้งาน หลังอัปเกรดให้ตรวจเลขรุ่นอีกครั้งและทดสอบการเชื่อมต่อที่จำเป็น เก็บข้อมูลสำรองและผลตรวจก่อนกับหลังอัปเดตไว้ใช้เทียบเมื่อพบปัญหา
ระหว่างเตรียมอัปเดต ให้ทำตามคำแนะนำ MikroTik โดยปิดการเข้าถึง SSH และ WebFig จากเครือข่ายไม่น่าเชื่อถือ จำกัดเฉพาะ trusted IP หรือเข้าผ่าน VPN เช่น WireGuard การเปลี่ยนรหัสผ่านอย่างเดียวไม่ครอบคลุมจุดผิดพลาดที่เกิดก่อนยืนยันตัวตน และการจำกัดการเข้าถึงควรทำควบคู่กับการติดตั้งแพตช์
หลังอัปเกรด ผู้ผลิตให้ตรวจ configuration ว่ามี scripts ผู้ใช้ หรือรายการตั้งค่าที่ไม่รู้จักหรือไม่ แม้อุปกรณ์จะไม่มีสถานะ Flagged หาก Log มี critical entry ว่าถูก Flagged ให้ทำตามเอกสาร Flagged status ที่ลิงก์จากประกาศ อย่าถือว่าการอัปเดตเพียงอย่างเดียวเป็นหลักฐานว่า configuration เดิมปลอดภัย
ส่วนตัวผมให้เร่งแพตช์อุปกรณ์ที่ SSH ยังเข้าถึงจากภายนอกได้ เพราะมีการโจมตีจริงแล้ว ที่มา: CISA KEV / CVE-2026-67279 (https://www.cve.org/CVERecord?id=CVE-2026-67279) และ MikroTik — September 2026 vulnerability ถ้ามีรายละเอียดทางการเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first