Коротко. Уязвимости RouterOS, объединённые названием MikroTrick, уже используют для захвата роутеров MikroTik с доступным из интернета SSH. Чтобы защитить роутер, обновите RouterOS как минимум до 7.24.3 (stable), 7.23.6 (long-term) или 6.49.21 (RouterOS 6), закройте управление от внешней сети и проверьте конфигурацию на посторонние изменения. Если вы уже обновлялись до 7.24.2 или 7.23.4, обновитесь ещё раз: исправление в этих версиях оказалось неполным. Смены пароля недостаточно. 20 октября производитель также сообщил об отдельной ошибке SNMP (CVE-2026-88464) — у неё другие условия эксплуатации и последствия.
Материал подготовлен по сообщениям MikroTik и CERT Polska на 22 октября 2026 года. Ниже указаны минимальные версии с исправлениями описанных ошибок; для установки выбирайте актуальный совместимый выпуск своего канала обновлений.
Что такое MikroTrick и кого это касается
RouterOS — операционная система маршрутизаторов MikroTik. От неё могут зависеть интернет в офисе, связь между филиалами и доступ сотрудников к внутренним системам. Поэтому проблема роутера способна остановить работу компании, даже если её сайт и облачная CRM исправны.
5 сентября CERT Polska сообщил о шести найденных уязвимостях и подтвердил реальные атаки. Сочетание двух ошибок позволяет получить полный контроль над устройством без аутентификации, если атакующий может подключиться к его SSH-сервису. Эту цепочку исследователи назвали MikroTrick. Источник: предупреждение CERT Polska.
В первую очередь проверьте роутеры с управлением, открытым во внешнюю сеть: офисные шлюзы, оборудование филиалов и виртуальные маршрутизаторы. Доступность службы из локальной сети тоже нужно учитывать при оценке риска. Проверять следует и установленную версию, и фактические правила доступа, а не только название модели.
Какие ошибки нашли в RouterOS
Это несколько разных проблем. В официальных материалах перечислены:
- CVE-2026-67279 и CVE-2026-86060. Ошибки обработки SSH-соединения и прав сеанса, которые могут использоваться совместно для доступа без штатного входа и повышения привилегий.
- CVE-2026-67276. Ошибка проверки SSH-ключа: при определённых условиях возможен вход без соответствующего закрытого ключа.
- CVE-2026-67281. Чтение файлов через WebFig без входа в систему; среди доступных данных могут оказаться учётные сведения.
- CVE-2026-67278. Принятие поддельных сертификатов и SSH-ключей сервера, позволяющее подменить сервер, к которому подключается роутер.
- CVE-2026-67277. Ошибки службы bandwidth-test, способные привести к раскрытию части памяти или отказу в обслуживании.
Набор затронутых версий различается для каждой ошибки. Подробные диапазоны и технические описания опубликованы в бюллетене CERT Polska.
Какие версии RouterOS содержат исправления
6 октября MikroTik уточнил важную деталь: исправление CVE-2026-67278 в выпусках 7.24.2 и 7.23.4 оказалось неполным. Если вы обновлялись только до этих версий, обновление нужно повторить. Производитель указывает следующие версии, закрывающие весь описанный сентябрьский набор:
| Ветка RouterOS | Минимальная версия с исправлениями |
|---|---|
| RouterOS 7, stable | 7.24.3 |
| RouterOS 7, long-term | 7.23.6 |
| RouterOS 6 | 6.49.21; CVE-2026-67278 эту ветку не затрагивает |
Более новые выпуски соответствующих веток также содержат исправления. Эти номера — нижняя граница для данного набора ошибок, а не рекомендация устанавливать старый выпуск вместо актуального. Источник: бюллетень MikroTik с уточнением от 6 октября.
Отдельная уязвимость SNMP от 20 октября
В сообщении от 20 октября MikroTik описал CVE-2026-88464: специально сформированный SNMP-запрос может аварийно завершить процесс SNMP. Для атаки служба должна быть включена и доступна атакующему; также нужна действующая строка community. По умолчанию SNMP выключен.
Ошибка появилась в RouterOS 7.20. RouterOS 6 и выпуски до 7.20 не затронуты. Исправления есть в 7.24 stable и 7.23.3 long-term и более новых выпусках. Если SNMP не используется, его следует отключить; если нужен для мониторинга — разрешить доступ только доверенным узлам и закрыть UDP-порт 161 от недоверенных сетей. Источник: Security Announcements MikroTik, CVE-2026-88464.
Это отдельная ошибка службы мониторинга. Подтверждённые атаки MikroTrick через SSH не означают, что производитель подтвердил такую же эксплуатацию SNMP-уязвимости.
Как защитить роутер MikroTik
1. Уточнить версию и ограничить доступ к управлению
Зафиксируйте модель, версию RouterOS и канал обновлений. Проверьте доступность SSH, WebFig и других интерфейсов управления с внешней стороны сети, включая IPv6, если он используется. Ограничьте управление доверенной административной сетью или VPN; отключите службы, которые не нужны.
Версию, канал обновлений и включённые службы управления можно посмотреть в WinBox и WebFig или командами только для чтения в терминале RouterOS. Первая показывает установленную версию, вторая — канал обновлений, третья — службы управления и адреса, с которых к ним разрешён доступ:
/system/resource/print
/system/package/update/print
/ip/service/printВ стандартной конфигурации MikroTik управление со стороны WAN блокируется межсетевым экраном, но правила могли изменить при настройке. Сильный пароль полезен, однако не закрывает ошибку обхода аутентификации. Рекомендации производителя по защите доступа собраны в руководстве Securing your router.
2. Подготовить и установить обновление
До изменения настроек сохраните конфигурацию и резервную копию за пределами устройства, защитив их как файлы с конфиденциальными данными. Уточните способ локального доступа и восстановления: при обновлении офисного шлюза связь может прерваться. Если роутером управляет провайдер или подрядчик, согласуйте работы с ним.
В WinBox или WebFig используйте Check for Updates и проверьте предлагаемый выпуск по бюллетеню производителя. Не переводите рабочую сеть на тестовый канал только ради большего номера версии. После установки и перезагрузки убедитесь, что обновление применилось, интернет и VPN работают, а управление осталось доступно только нужным администраторам.
3. Проверить, не изменил ли кто-то конфигурацию
Проверьте пользователей и их права, SSH-ключи, скрипты, задания планировщика, прокси, туннели и правила маршрутизации. Сравните DNS и правила перенаправления трафика с согласованной конфигурацией. Смысл проверки — найти изменения, для которых нет понятного владельца и рабочей причины.
CERT Polska рекомендует такую проверку после обновления: исправление уязвимости не отменяет уже внесённые злоумышленником настройки. Сохраните обнаруженные признаки и журналы до очистки устройства.
Что означает Flagged в RouterOS
В версиях RouterOS с механизмом Flagged система может обнаруживать некоторые подозрительные изменения при запуске и отключать их. Состояние можно посмотреть в System → Device Mode или командой только для чтения:
/system/device-mode/printЕсли вы видите flagged: yes, устройство нужно считать скомпрометированным и проверить целиком. Не снимайте отметку только ради возвращения заблокированных функций. Отсутствие отметки тоже не доказывает, что вмешательства не было: механизм обнаруживает лишь часть известных следов. Документация MikroTik о Flagged; ограничения обнаружения по данным CERT Polska.
Если есть признаки взлома
Ограничьте сетевую доступность устройства, сохраните журналы и конфигурацию для расследования и подготовьте восстановление из доверенных данных. Не возвращайте подозрительную конфигурацию целиком после переустановки. С чистого административного компьютера замените пароли и ключи, которые могли оказаться доступны на роутере, и проверьте связанные подключения.
Для владельца бизнеса результат проверки должен быть понятным: какая версия установлена, откуда доступно управление, найдены ли посторонние настройки и как восстанавливается связь. Попросите администратора подтвердить эти пункты после работ. Если сайт открывается из внешней сети, но недоступен только из офиса, проверку офисного маршрутизатора стоит включить в диагностику вместе с DNS и подключением к провайдеру.
Что ещё проверить в октябре 2026 года
MikroTrick — не единственная срочная проблема инфраструктуры этого месяца. С 11 по 17 октября через уязвимость в VMmanager 6 с серверов клиентов FirstVDS и других хостингов копировали пароли, ключи и конфиги. 21 октября вышли исправления уязвимости PHP2Shell, через которую сайт на PHP можно взломать одним запросом. Если у компании есть свой сервер или сайт, проверьте и их. Серверы клиентов на технической поддержке мы проверяем сами.
Частые вопросы
До какой версии обновить RouterOS, чтобы закрыть MikroTrick?
Не ниже 7.24.3 в канале stable, 7.23.6 в канале long-term или 6.49.21 для RouterOS 6. Более новые выпуски тех же веток тоже содержат исправления. Ставьте актуальный совместимый выпуск своего канала, а не минимальный.
Я обновился до 7.24.2 или 7.23.4. Этого достаточно?
Нет. 6 октября MikroTik сообщил, что исправление CVE-2026-67278 в этих выпусках неполное. Обновление нужно повторить до 7.24.3 или 7.23.6 либо новее.
Поможет ли смена пароля администратора?
Не поможет. Цепочка MikroTrick даёт полный контроль над устройством без аутентификации, если атакующий может подключиться к SSH, поэтому сильный пароль её не закрывает. Нужны обновление, ограничение доступа к управлению и проверка конфигурации.
Уязвим ли роутер, если SSH закрыт из интернета?
Риск ниже, но обновляться всё равно нужно. Подтверждённые атаки идут через SSH, доступный атакующему, и доступность службы из локальной сети тоже учитывают при оценке риска. Другие ошибки набора касаются WebFig, проверки сертификатов и службы bandwidth-test.
Опасна ли уязвимость SNMP CVE-2026-88464?
Она позволяет аварийно завершить процесс SNMP специально сформированным запросом. Для атаки SNMP должен быть включён и доступен атакующему, нужна действующая строка community; по умолчанию SNMP выключен. Затронуты версии начиная с 7.20, исправлено в 7.24 stable и 7.23.3 long-term.
Что делать, если в Device Mode стоит flagged: yes?
Считать роутер скомпрометированным: ограничить его сетевую доступность, сохранить журналы и конфигурацию, восстановить устройство из доверенных данных и с чистого компьютера заменить пароли и ключи. Снимать отметку только ради возврата заблокированных функций не нужно.
Источники
- CERT Polska: уязвимости MikroTik RouterOS используются в атаках
- CERT Polska: бюллетень с затронутыми версиями
- MikroTik: бюллетень о сентябрьских уязвимостях с уточнением от 6 октября
- MikroTik Security Announcements: CVE-2026-88464 (SNMP)
- MikroTik: Securing your router
- MikroTik: Device Mode и признак Flagged