Уязвимость в MikroTik RouterOS: что важно знать владельцам оборудования и как защитить устройство

Компания MikroTik обнаружила уязвимость безопасности в операционной системе RouterOS и выпустила исправления во всех каналах обновлений. Ниже — что именно произошло, какие версии содержат исправление, как обновить оборудование и что предпринять, если обновление невозможно установить прямо сейчас.

Кратко

• Производитель обнаружил уязвимость в RouterOS и опубликовал исправления. Это важное обновление безопасности, и его установка настоятельно рекомендуется всем пользователям.
• Для большинства типовых конфигураций, в том числе для домашних устройств с настройками по умолчанию, немедленной угрозы нет. Однако обновление всё равно остаётся рекомендуемым действием.
• Исправления включены в версии 7.25 beta 3, 7.24.2, 7.23.4, 6.49.21 и более новые. Версия 7.25 beta 3 является предварительной, поэтому для постоянной работы рекомендуется актуальный выпуск вашей ветки.
• После обновления RouterOS самостоятельно проверит устройство на признаки компрометации и при необходимости присвоит ему статус Flagged, о чём появится запись в журнале (Log).

Что сообщил производитель

MikroTik уведомила пользователей о найденной уязвимости безопасности и сообщила, что выпуски, содержащие исправление, уже опубликованы во всех каналах обновлений. Компания подчёркивает, что обновление носит характер важного обновления безопасности и настоятельно рекомендуется, хотя большинство конфигураций под угрозу не попадает.

Чтобы у пользователей было время установить обновления, подробная техническая информация об уязвимости в настоящее время не публикуется: сообщение производителя будет дополнено, когда появится больше сведений. Ваше устройство должно уже предлагать обновление программного обеспечения в меню «Check for updates».

Какие версии содержат исправление

Производитель указывает, что исправление включено в версии 7.25 beta 3, 7.24.2, 7.23.4, 6.49.21 и более новые. Это основной ориентир при обновлении.

ЦМУ ССОП дополнительно приводит сопоставление версий с ветками обновлений (версия 7.25 beta 3 указана по уведомлению производителя):

Распределение версий по веткам Stable, Long-term и RouterOS 6 приведено по данным ЦМУ ССОП: в уведомлении MikroTik указан только перечень версий, без привязки к веткам. Версия 7.25 beta 3 — предварительный (beta) выпуск, она названа в уведомлении производителя. Исправления включены и во все последующие версии программного обеспечения, поэтому если в вашей ветке доступен более новый выпуск, устанавливайте именно его.

Какие уязвимости выявлены

Центр мониторинга и управления сетью связи общего пользования (ЦМУ ССОП) в ходе сканирования российского сегмента сети Интернет с использованием системы ИС «Сканер безопасности» в соответствии с постановлением Правительства Российской Федерации № 1667 от 27.10.2025 выявил потенциальные уязвимости в программном обеспечении MikroTik RouterOS. Пользователям рекомендовано в приоритетном порядке проверить используемые версии RouterOS и обеспечить установку обновлений безопасности.

Потенциальные последствия эксплуатации таких уязвимостей: обход аутентификации злоумышленником, повышение привилегий до административного уровня, выполнение несанкционированных команд, чтение и изменение файлов, раскрытие конфиденциальной информации, нарушение работоспособности устройства и получение полного контроля над маршрутизатором.

Выявленные уязвимости (по данным ЦМУ ССОП):

• CVE-2026-67276 — затрагивает RouterOS версии 7.9 и выше до версии 7.23.4, а также версии с 7.24 до 7.24.2. Связана с некорректной проверкой RSA-ключей при SSH-аутентификации. Эксплуатация может позволить злоумышленнику обойти аутентификацию и получить доступ к SSH-сессии с правами соответствующей учётной записи. Устранена в RouterOS 7.23.4 и 7.24.2.
• CVE-2026-86060 — затрагивает RouterOS версии с 6.0.0 до 6.49.21, с 7.0.0 до 7.23.4 и с 7.24 до 7.24.2. Связана с некорректной обработкой имени пользователя при установлении SSH-соединения. Эксплуатация позволяет повысить привилегии до административного уровня и получить полный контроль над устройством. Устранена в RouterOS 6.49.21, 7.23.4 и 7.24.2.
• CVE-2026-67279 — затрагивает RouterOS версии с 6.0.0 до 6.49.21, с 7.0.0 до 7.23.4 и с 7.24 до 7.24.2. Связана с некорректной обработкой SSH-соединения и при определённых условиях позволяет выполнять действия до завершения штатной аутентификации. Эксплуатация может привести к несанкционированному выполнению команд, созданию, изменению и перезаписи файлов на устройстве, в том числе содержащих конфигурационные и диагностические данные. Устранена в RouterOS 6.49.21, 7.23.4 и 7.24.2.
• CVE-2026-67277 — затрагивает RouterOS версии с 6.0.0 до 6.49.21, с 7.0.0 до 7.23.4 и с 7.24 до 7.24.2. Связана с недостаточной проверкой аутентификации при использовании службы bandwidth-test. Эксплуатация может привести к раскрытию данных из памяти устройства либо к удалённому нарушению работоспособности маршрутизатора и его перезапуску. Устранена в RouterOS 6.49.21, 7.23.4 и 7.24.2.
• CVE-2026-67278 — затрагивает RouterOS версии с 7.0.0 до 7.23.4 и с 7.24 до 7.24.2. Связана с некорректной проверкой криптографических подписей при обработке X.509-сертификатов. Эксплуатация при определённых условиях может привести к подмене доверенного сервера и перехвату либо изменению защищённого соединения устройства. Устранена в RouterOS 7.23.4 и 7.24.2.
• CVE-2026-67281 — затрагивает RouterOS версии с 7.20 до 7.23.4 и с 7.24 до 7.24.2. Связана с некорректной обработкой запросов в веб-интерфейс. Эксплуатация может позволить получить несанкционированный доступ к файлам устройства, включая конфигурационные данные и сведения, используемые для аутентификации. Устранена в RouterOS 7.23.4 и 7.24.2.

Как обновить RouterOS

1. Убедитесь, что устройство имеет доступ в сеть обновлений, и проверьте доступные обновления через меню «Check for updates».
2. Перед обновлением сохраните резервную копию конфигурации: это общая рекомендация, позволяющая быстро восстановить настройки при необходимости.
3. Установите выпуск, содержащий исправления. Ориентируйтесь на перечень из уведомления производителя: 7.25 beta 3, 7.24.2, 7.23.4, 6.49.21 и более новые. По данным ЦМУ ССОП это 7.24.2 для ветки Stable, 7.23.4 для ветки Long-term и 6.49.21 для устройств на RouterOS 6. Версия 7.25 beta 3 является предварительной, для постоянной работы рекомендуется актуальный выпуск вашей ветки. Если в вашей ветке доступна более новая версия, устанавливайте именно её.
4. После обновления дождитесь завершения автоматической проверки устройства и просмотрите журнал событий.

Что проверить после обновления

• Проверьте журнал (Log). RouterOS проверит устройство на признаки компрометации и при их наличии присвоит ему статус «Flagged». В этом случае в журнале появится критическая запись о присвоении статуса. Если такая запись есть, необходимо действовать по инструкции, приведённой на странице документации о статусе Flagged.
• Проверьте конфигурацию. Даже если устройство не получило статус Flagged, после обновления следует просмотреть настройки и убедиться, что среди них нет скриптов, пользователей и иных параметров, которые вы не создавали. Производитель рекомендует такую проверку независимо от наличия статуса Flagged.
• Важная особенность. Статус Flagged не удаляет конфигурацию устройства. Это означает, что проверка настроек остаётся необходимым шагом даже при обнаружении признаков компрометации.

Если обновление невозможно установить сразу

Указанные меры являются временными и применяются до установки исправленной версии RouterOS. Они не заменяют обновление программного обеспечения.

• Исключить доступ из Интернета к административным сервисам маршрутизатора: SSH, HTTP/HTTPS, Winbox, bandwidth-test и другие.
• Разрешить управление только из выделенной административной сети, с доверенных IP-адресов.
• Отключить bandwidth-test и другие неиспользуемые службы RouterOS.
• Ограничить исходящие соединения маршрутизатора с внешними узлами только теми, которые необходимы для его штатной работы.
• Если внешний доступ к управлению необходим, использовать дополнительный межсетевой экран с ограничением источников подключения и дополнительной аутентификацией.
• Усилить контроль журналов событий и регулярно проверять созданные учётные записи, SSH-ключи, скрипты, задания (scheduler), правила обработки трафика (firewall), туннели и конфигурацию на предмет несанкционированных изменений.

Итог

Уязвимость в RouterOS не требует экстренных действий для большинства типовых конфигураций, однако установка обновления остаётся настоятельной рекомендацией производителя и ЦМУ ССОП. Обновите RouterOS до выпуска, содержащего исправление. Производитель называет версии 7.25 beta 3, 7.24.2, 7.23.4, 6.49.21 и более новые; по сопоставлению ЦМУ ССОП это 7.24.2 (ветка Stable), 7.23.4 (ветка Long-term) и 6.49.21 (RouterOS 6). Затем проверьте журнал на наличие статуса Flagged и просмотрите конфигурацию устройства на предмет неизвестных скриптов, пользователей и настроек.