แจ้งเตือนช่องโหว่ความปลอดภัยระดับปานกลางใน MikroTik RouterOS (CVE-2026-67279)
CISA KEV: Mikrotik RouterOS Improper Enforcement of Behavioral Workflow Vulnerability in MikroTik RouterOS (CVE-2026-67279)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-67279 ในระบบ MikroTik RouterOS ซึ่งเกิดจากข้อบกพร่องในการบังคับใช้กระบวนการทำงานผ่าน SSH ทำให้ผู้โจมตีที่ไม่ได้รับการยืนยันตัวตนสามารถเปิดช่องทางเซสชันและส่งคำสั่งเพื่อสร้างหรือเขียนทับไฟล์ในระบบได้ ช่องโหว่นี้ยังสามารถนำไปใช้ร่วมกับการโจมตีอื่น ๆ เพื่อสร้างความเสียหายต่อระบบเครือข่ายได้ หน่วยงานที่ใช้งานควรเร่งดำเนินการตรวจสอบและปรับปรุงความปลอดภัยโดยด่วน
รายละเอียดทางเทคนิคของช่องโหว่ (CVE-2026-67279)
ประเภทข้อบกพร่อง (CWE): CWE-841 (Improper Enforcement of Behavioral Workflow)
ระดับความรุนแรงตาม CVSS v3.1: 6.5 (Medium) — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
ผลกระทบ: ช่องโหว่นี้เกิดขึ้นในส่วนการทำงาน SSH ของ MikroTik RouterOS เมื่อไคลเอนต์ร้องขอการเปลี่ยนกุญแจ (rekey) แม้ว่าจะยังไม่มีการยืนยันตัวตนของผู้ใช้ก็ตาม ส่งผลให้ผู้โจมตีที่ไม่มีสิทธิ์ (Unauthenticated) สามารถเปิดช่องทางเซสชันและส่งคำสั่ง (exec request) เพื่อสร้าง เขียนทับ หรือปรับแต่งไฟล์ภายในเนมสเปซของ MikroTik RouterOS ได้ ซึ่งรวมถึงไฟล์สนับสนุนที่บรรจุข้อมูลการกำหนดค่า (Configuration) และข้อมูลการวินิจฉัยระบบ นอกจากนี้ยังพบว่าช่องโหว่นี้สามารถถูกนำไปใช้เชื่อมโยง (Chain) เพื่อแสวงหาประโยชน์จากช่องโหว่อื่น ๆ เช่น CVE-2026-86060 ได้อีกด้วย
ผลิตภัณฑ์ที่ได้รับผลกระทบ: ระบบ MikroTik RouterOS ในรุ่นที่ยังไม่ได้อัปแพตช์
แนวทางการปฏิบัติและการบรรเทาผลกระทบ
- อัปเดตซอฟต์แวร์: ดำเนินการอัปเดต MikroTik RouterOS ไปยังเวอร์ชันที่ได้รับการแก้ไขช่องโหว่ ได้แก่ เวอร์ชัน 6.49.21 (Long-term), 7.23.4 (Long-term) หรือ 7.24.2 (Stable) หรือเวอร์ชันล่าสุดตามคำแนะนำของผู้ผลิต
- จำกัดการเข้าถึงบริการการจัดการ: ปิดกั้นการเข้าถึงบริการจัดการระบบจากภายนอกอินเทอร์เน็ต (เช่น SSH, WinBox, WebFig) โดยอนุญาตให้เข้าถึงได้เฉพาะจากเครือข่ายภายในที่มีความปลอดภัยหรือผ่าน VPN เท่านั้น
- ตรวจสอบการตั้งค่าความปลอดภัย: ตรวจสอบไฟล์การกำหนดค่าและบันทึกเหตุการณ์ (Logs) ในระบบเพื่อค้นหาความผิดปกติหรือไฟล์แปลกปลอมที่อาจถูกสร้างขึ้นโดยไม่ได้รับอนุญาต
- ปฏิบัติตามแนวทางของ CISA: ดำเนินการตามมาตรการบรรเทาผลกระทบตามคำแนะนำของ CISA (BOD 26-04) และจัดทำ Forensics Triage หากพบความผิดปกติในระบบ