แจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤตในการจัดการอาร์กิวเมนต์ของระบบ MikroTik RouterOS (CVE-2026-86060)
CISA KEV: MikroTik RouterOS Improper Neutralization of Argument Delimiters in a Command Vulnerability in MikroTik RouterOS (CVE-2026-86060)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤต (CVSS 9.2) รหัส CVE-2026-86060 ในระบบ MikroTik RouterOS ซึ่งเกิดจากข้อผิดพลาดในการจัดการตัวคั่นอาร์กิวเมนต์ (Improper Neutralization of Argument Delimiters) ผ่านช่องทางการเข้าสู่ระบบด้วย SSH ส่งผลให้ผู้โจมตีที่ไม่มีสิทธิ์เข้าถึงระบบสามารถยกระดับสิทธิ์ (Privilege Escalation) และเข้าควบคุมอุปกรณ์ได้ทันที ผู้ดูแลระบบควรเร่งดำเนินการตรวจสอบและอัปเดตแพตช์โดยด่วน
รายละเอียดทางเทคนิคของช่องโหว่ (CVE-2026-86060)
ช่องโหว่นี้จัดอยู่ในประเภท CWE-88: Improper Neutralization of Argument Delimiters in a Command ซึ่งเกิดขึ้นในส่วนกระบวนการจัดการอาร์กิวเมนต์ (Argument-handling flaw) ของเส้นทางการเข้าสู่ระบบผ่าน SSH (SSH login path) ในระบบ MikroTik RouterOS
กลไกการโจมตี (Exploitation Mechanism):
- ช่องโหว่นี้เปิดช่องให้ผู้โจมตีสามารถส่งชื่อผู้ใช้งาน (Username) ที่ขึ้นต้นด้วยอักขระต้องห้ามผ่านเซสชัน SSH โดยที่ไม่จำเป็นต้องมีการตรวจสอบสิทธิ์ (Unauthenticated SSH session) เข้าถึงระบบช่วยเข้าสู่ระบบ (Login helper) ของ MikroTik RouterOS ได้
- การกระทำดังกล่าวทำให้ผู้โจมตีสามารถเปลี่ยนแปลงหน้ากากนโยบายที่เชื่อถือได้ของ RouterOS (Trusted RouterOS policy mask) นำไปสู่การยกระดับสิทธิ์การใช้งาน (Privilege Escalation) เป็นระดับสูงสุดได้อย่างสมบูรณ์
ผลกระทบต่อองค์กร (Potential Impact):
- ความลับของข้อมูล (Confidentiality): สูง (ผู้โจมตีสามารถเข้าถึงข้อมูลลับทั้งหมดบนอุปกรณ์เราเตอร์)
- ความถูกต้องของข้อมูล (Integrity): สูง (ผู้โจมตีสามารถปรับ Policy Mask และแก้ไขการตั้งค่าเครือข่ายทั้งหมดได้)
- ความพร้อมใช้งานของระบบ (Availability): สูง (ผู้โจมตีสามารถปฏิเสธการให้บริการ ขัดขวางการรับส่งข้อมูล หรือทำให้เราเตอร์หยุดทำงาน)
แนวทางการปฏิบัติและมาตรการบรรเทาความเสี่ยง
- อัปเดตซอฟต์แวร์ทันที: ดำเนินการอัปเดต MikroTik RouterOS เป็นเวอร์ชันที่ได้รับการแก้ไขช่องโหว่เรียบร้อยแล้ว โดยอ้างอิงจากคำแนะนำอย่างเป็นทางการของผู้พัฒนา
- จำกัดการเข้าถึงการบริหารจัดการ (Access Control): ปิดกั้นการเข้าถึงบริการ SSH จากภายนอกอินเทอร์เน็ต (Public Network) โดยอนุญาตให้เชื่อมต่อเฉพาะจากเครือข่ายภายในที่ปลอดภัย (Trusted Management Network) หรือผ่าน VPN ที่มีการยืนยันตัวตนแบบหลายปัจจัย (MFA) เท่านั้น
- การเฝ้าระวังและตรวจสอบ (Monitoring): ตรวจสอบบันทึกเหตุการณ์ (Log) ของระบบสำหรับการเข้าสู่ระบบผ่าน SSH ที่ผิดปกติ หรือมีการพยายามใช้ชื่อผู้ใช้งานที่แปลกปลอมตามคำเตือนของ CISA KEV
- การปฏิบัติตามกรอบความปลอดภัย: ดำเนินการตามแนวทางปฏิบัติด้านความปลอดภัยของ CISA (BOD 26-04) และกำหนดการแก้ไขให้แล้วเสร็จภายในกรอบเวลาที่กำหนด