MikroTik RouterOS ข้อมูลเคอร์เนลรั่วผ่าน btest CVE-2026-67277
ผู้ดูแล MikroTik RouterOS รุ่นที่ได้รับผลกระทบควรเร่งอัปเดต โดยเฉพาะอุปกรณ์ที่เปิดบริการให้เครือข่ายไม่น่าเชื่อถือเข้าถึง
1-minute summary
- Symptom / problem
- ผู้โจมตีที่ยังไม่ยืนยันตัวตนสามารถทำข้อมูลเคอร์เนลรั่วบางส่วนหรือทำให้เราเตอร์หยุดให้บริการผ่าน btest
- Who should read
- ผู้ดูแลระบบที่ใช้อุปกรณ์ MikroTik RouterOS ในช่วงรุ่นที่มีช่องโหว่
- Fix in short
- อัปเดตเป็นรุ่นที่แก้ตามสาย Long-term หรือ Stable และตรวจการเปิดบริการกับค่าตั้งหลังอัปเดต
พอดีไล่ฟีด CISA KEV เจอช่องโหว่ CVE-2026-67277 ใน MikroTik RouterOS ตรงบริการทดสอบแบนด์วิดท์ หรือ btest ประเด็นนี้ทำให้ข้อมูลจากหน่วยความจำเคอร์เนลรั่วบางส่วน และทำให้เราเตอร์ล่มได้ CISA เพิ่มรายการเมื่อ 10 กันยายน 2026 โดยเป็นช่องโหว่ที่มีการนำไปโจมตีจริงแล้ว พร้อมระบุวันครบกำหนดดำเนินการเป็น 13 กันยายน 2026 ตามรายการ KEV ของ CISA
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ถ้าใช้ MikroTik RouterOS รุ่นที่มีช่องโหว่ ให้เร่งสำรองค่าตั้งและอัปเดตอุปกรณ์ โดยจัดลำดับเครื่องที่เปิดบริการให้เครือข่ายไม่น่าเชื่อถือเข้าถึงก่อน
เกิดอะไรขึ้น
RouterOS ยอมรับการเชื่อมต่อ btest ที่ผูกกับ session หลัก ทั้งที่ session หลักยังล็อกอินไม่เสร็จ ผู้โจมตีที่เข้าถึงบริการได้อาจเริ่มทดสอบ IPv4 UDP โดยไม่ต้องยืนยันตัวตน ปัญหานี้คือ Missing Authentication for Critical Function หรือ CWE-306
ผลกระทบมีสองส่วน ส่วนแรกคือระบบอาจส่งข้อมูลเก่าที่ค้างในบัฟเฟอร์ของเคอร์เนลออกไป ทำให้ข้อมูลในหน่วยความจำรั่วบางส่วน อีกส่วนคือระบบตรวจช่วงขนาดแพ็กเก็ตไม่ครบ ค่าที่ผิดลำดับอาจทำให้เกิด unsigned integer underflow หรือผลคำนวณจำนวนเต็มที่วนกลับเป็นค่าผิดปกติ ข้อมูลที่ส่งออกอาจมีขนาดใหญ่ผิดปกติและทำให้เคอร์เนล RouterOS รีสตาร์ตได้ รายละเอียดกลไกอยู่ในประกาศ CERT Polska
ผู้กำหนด CVE คือ CERT.PL ให้คะแนน CVSS 4.0 เท่ากับ 8.8 ระดับ High ระบุว่าโจมตีผ่านเครือข่ายได้ ไม่ต้องมีสิทธิ์เดิม และไม่ต้องอาศัยการกระทำของผู้ใช้ ผลกระทบด้านความพร้อมใช้งานอยู่ในระดับสูง ตามระเบียน CVE ฉบับข้อมูลทางการ
ใครโดนและรุ่นที่แก้
ตรวจเลขรุ่น RouterOS ให้ครบและดูว่าแต่ละเครื่องใช้ช่องทางอัปเดตใด ตารางนี้แสดงช่วงรุ่นจากระเบียน CVE และรุ่นแก้ของแต่ละสาย ส่วนรุ่น Testing อ้างอิงประกาศผู้ผลิต
| สายรุ่น | รุ่นที่ได้รับผลกระทบ | รุ่นที่มีแพตช์ |
|---|---|---|
| RouterOS 6 Long-term | ตั้งแต่ 6.0.0 ก่อน 6.49.21 | 6.49.21 |
| RouterOS 7 Long-term | ตั้งแต่ 7.0.0 ก่อน 7.23.4 | 7.23.4 |
| RouterOS 7 Stable | ตั้งแต่ 7.24 ก่อน 7.24.2 | 7.24.2 |
| RouterOS 7 Testing | ประกาศไม่ได้แจกแจงช่วงรุ่นทดสอบ | 7.25 beta 3 |
เลขรุ่นในตารางคือรุ่นที่มีแพตช์สำหรับประเด็นนี้ ผู้ดูแลระบบใช้งานจริงควรเลือกสาย Long-term หรือ Stable ที่เหมาะกับอุปกรณ์ และอ่านข้อกำหนดการอัปเกรดก่อนดำเนินการ ไม่จำเป็นต้องย้ายไปใช้รุ่นทดสอบเพื่อรับแพตช์
ต้องทำอะไร
ตรวจรุ่นที่ติดตั้ง สำรองค่าตั้ง และเตรียมช่องทางเข้าถึงอุปกรณ์เผื่อการเชื่อมต่อขาด จากนั้นใช้เมนู Check for updates ของ RouterOS เพื่ออัปเดตในสายที่ใช้งานอยู่ หลังอัปเดตให้ตรวจเลขรุ่นอีกครั้ง และทดสอบการเชื่อมต่อกับบริการที่จำเป็น ขั้นตอนสำรองและทดสอบนี้เป็นคำแนะนำในการดูแลระบบ
ระหว่างเตรียมอัปเดต ควรทบทวนว่าบริการทดสอบแบนด์วิดท์เปิดให้เครือข่ายใดเข้าถึงได้บ้าง และลดการเข้าถึงที่ไม่จำเป็น ประกาศผู้ผลิตแนะนำเพิ่มเติมให้จำกัด SSH และ WebFig เฉพาะแหล่งที่เชื่อถือ หรือเข้าผ่าน VPN พร้อมตรวจหาสคริปต์ ผู้ใช้ และค่าตั้งที่ไม่รู้จักหลังอัปเกรด หาก Log ระบุสถานะ Flagged ให้ปฏิบัติตามเอกสารของผู้ผลิต การจำกัดช่องทางบริหารเป็นมาตรการเสริม และยังต้องลงแพตช์ btest ตามรุ่นที่ระบุ
MikroTik เพิ่มข้อมูลเมื่อ 6 ตุลาคม 2026 ว่าแพตช์ CVE-2026-67278 ซึ่งเป็นอีกช่องโหว่หนึ่งยังไม่ครบใน 7.24.2 และ 7.23.4 โดยแก้ครบใน 7.24.3 และ 7.23.6 ข้อมูลนี้ไม่เปลี่ยนรุ่นที่แก้ CVE-2026-67277 ในตาราง แต่ควรนำมาพิจารณาเลือกรุ่นปลายทางด้วย
ตรวจรายละเอียดรุ่นและคำแนะนำทั้งหมดได้จากประกาศ MikroTik: September 2026 vulnerability
ส่วนตัวผมให้เร่งแพตช์ เพราะมีการโจมตีจริงแล้ว โดยเฉพาะอุปกรณ์ที่บริการเข้าถึงได้จากภายนอก ที่มา: CVE-2026-67277 (https://www.cve.org/CVERecord?id=CVE-2026-67277) เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first