В RouterOS нашли шесть уязвимостей, две из них позволяют захватить маршрутизатор MikroTik в обход пароля и уже используются в атаках.
Что произошло
3 сентября 2026 года MikroTik выпустила исправления для шести уязвимостей в RouterOS: в службе SSH, веб-интерфейсе WebFig, проверке сертификатов и службе bandwidth-test. Самые опасные затрагивают SSH: две уязвимости (CVE-2026-67279 и CVE-2026-86060) вместе позволяют выполнять команды без входа в систему и получить права администратора. По данным CERT Polska, такие атаки фиксировались уже 2 сентября — за день до выхода исправлений.
Ещё одна уязвимость (CVE-2026-67281) в WebFig на RouterOS 7.20 и новее позволяет без авторизации читать файлы на устройстве, включая файлы с учётными данными.
Кого это касается
Сама MikroTik отмечает, что большинство конфигураций не под угрозой: в заводских настройках доступ к SSH и WebFig из интернета закрыт. Риск возникает там, где эти службы открыли — чаще всего ради удобства удалённой настройки. Именно такие устройства атакуют в первую очередь.
При этом обновиться стоит в любом случае: уязвимость в проверке сертификатов затрагивает и соединения, которые маршрутизатор устанавливает сам.
Что сделать
- Обновить RouterOS — до версии 7.24.3, 7.23.6 или 6.49.21 и новее. Важная деталь: если маршрутизатор обновляли в сентябре до 7.24.2 или 7.23.4, этого недостаточно — одно из исправлений в них оказалось неполным, и обновиться нужно ещё раз.
- Закрыть управление из интернета — доступ к SSH и WebFig оставить только из доверенных адресов, а лучше только через VPN, например WireGuard.
- Проверить конфигурацию — нет ли незнакомых пользователей (в атаках создавалась учётная запись
ops), скриптов, заданий планировщика, новых правил NAT и туннелей. - Посмотреть журнал и статус устройства — обновлённая RouterOS сама проверяет признаки взлома и при их обнаружении помечает устройство статусом Flagged с критической записью в журнале. Отсутствие такой пометки не гарантирует, что устройство чистое, но её наличие — точный сигнал к действию.
Если признаки взлома нашлись, обновления уже недостаточно. Устройство нужно отключить от сети, сохранить журналы, сбросить до заводских настроек и настроить заново — не восстанавливая конфигурацию из резервной копии, сделанной на взломанном устройстве. После этого сменить все пароли, SSH-ключи и данные для подключения к VPN, которые хранились на устройстве.
Это не единичный случай
История с MikroTik хорошо показывает, как изменилась ситуация с уязвимостями. Часть этих уязвимостей нашли с помощью ИИ — и тот же подход теперь используют и производители, и злоумышленники. 13 октября Microsoft выпустила рекордные 1411 исправлений за месяц и связывает этот объём именно с поиском уязвимостей при помощи ИИ. А атаки всё чаще начинаются раньше, чем выходит патч.
Вывод простой: обновлять сетевое оборудование, серверы и рабочие станции «раз в полгода, когда будет время» уже не получается. Нужен регулярный процесс с понятным графиком, отслеживанием бюллетеней безопасности и готовностью обновиться внепланово, не дожидаясь очередного окна обслуживания, когда речь идёт об активно используемой уязвимости.
Как это устроено у наших клиентов
Маршрутизаторы MikroTik у клиентов на обслуживании мы обновили сразу после выхода исправлений, а затем повторно, когда MikroTik выпустила доработанную версию. Сейчас на них установлена последняя версия RouterOS. Для клиентов на абонентском обслуживании мы отслеживаем бюллетени безопасности и при критических уязвимостях обновляем оборудование внепланово.
Если не уверены, какая версия RouterOS стоит у вас и открыто ли управление из интернета, это один из пунктов, которые мы проверяем на бесплатном экспресс-обследовании.
Проверим ваше сетевое оборудование
Обновим RouterOS, закроем доступ к управлению из интернета и проверим конфигурацию на признаки взлома.