MikroTik RouterOS: критичные уязвимости MikroTrick, обновления и проблема LTE

Что произошло

MikroTik выпустила важное обновление безопасности RouterOS после обнаружения нескольких уязвимостей исследователями CERT Polska. Производитель рекомендует обновиться всем пользователям, хотя подчёркивает, что большинство стандартных конфигураций непосредственно не подвержены наиболее опасному сценарию.

Основной риск связан с удалённым доступом к управлению. MikroTik отдельно рекомендует не открывать SSH и другие management-порты в интернет, а для удалённого администрирования использовать VPN, например WireGuard.

Какие версии содержат первоначальные исправления MikroTrick

Именно эти минимальные версии MikroTik указала в первоначальном security advisory. После него вышли дополнительные обновления, закрывающие другие найденные проблемы. Поэтому ориентироваться только на один номер CVE недостаточно: для поддерживаемого устройства предпочтительна актуальная исправленная версия своей ветки, если для конкретной модели нет известной регрессии.

Что такое MikroTrick

CERT Polska описала набор ошибок RouterOS, среди которых проблемы аутентификации, проверки криптографической подписи, обработки соединений и памяти. Отдельные уязвимости могут комбинироваться.

Один из наиболее серьёзных сценариев связан с SSH. Исследователи обнаружили ошибку проверки RSA-ключа: RouterOS сопоставляла не все необходимые параметры публичного ключа. В определённых условиях это позволяло обойти ожидаемую проверку владения приватным ключом.

Это не означает, что любой MikroTik автоматически доступен атакующему. Экспозиция сервисов, версия RouterOS и конфигурация устройства имеют принципиальное значение.

Какие CVE фигурируют в сентябрьских исправлениях

CERT Polska опубликовала сведения о нескольких уязвимостях RouterOS, включая CVE-2026-67276, CVE-2026-67277, CVE-2026-67278, CVE-2026-67279, CVE-2026-67281 и CVE-2026-86060. У них различаются затронутые версии и условия эксплуатации.

Поэтому неверно считать, что одна конкретная версия одинаково исправляет весь набор для всех веток RouterOS. Например, MikroTik позже включала дополнительные security fixes в 7.23.6 и 7.24.3.

RouterOS 7.23.6 и 7.24.3: важное предупреждение для LTE

16 сентября MikroTik отдельно предупредила пользователей: версии 7.23.6 и 7.24.3 нельзя устанавливать на ряд LTE-конфигураций, поскольку после обновления LTE-интерфейс перестаёт работать. По пояснению представителя MikroTik, обновление может удалить firmware модема.

Это хороший пример того, почему security update в сетевой инфраструктуре всё равно требует проверки release notes и известных регрессий для конкретного оборудования.

Что делать, если LTE уже пропал после обновления

MikroTik рекомендует откатиться на RouterOS 7.23.5 либо 7.24.2, затем восстановить firmware LTE-модема и перезагрузить устройство. При отсутствии интернета пакет firmware можно загрузить на устройство вручную.

/interface/lte/firmware-upgrade lte1 upgrade=yes

После восстановления не следует снова устанавливать проблемную версию до выхода сборки, в которой регрессия исправлена для соответствующего устройства.

Как проверить MikroTik после обновления

1. Сделать backup и текстовый export конфигурации перед обновлением и хранить копию вне маршрутизатора.
2. Обновить RouterOS на подходящую исправленную версию с учётом предупреждения для LTE.
3. Проверить Log на критическое сообщение о статусе Flagged.
4. Просмотреть список пользователей и удалить неизвестные учётные записи.
5. Проверить Scripts, Scheduler, Netwatch и другие механизмы автоматического выполнения.
6. Проверить firewall input и доступность SSH, WinBox, WebFig и API со стороны WAN.
7. Проверить настройки DNS, proxy, SOCKS, VPN, маршрутов и NAT на неизвестные изменения.
8. Обновить RouterBOARD firmware там, где это требуется выбранной процедурой обновления.

Что означает статус Flagged

MikroTik сообщает, что RouterOS способен обнаруживать признаки компрометации, связанные с этой атакой, и записывать критическое сообщение Flagged в журнал. Если оно появилось, ситуацию нельзя считать обычным обновлением прошивки: необходимо следовать процедуре производителя для скомпрометированного устройства.

Отсутствие Flagged также не является абсолютным доказательством отсутствия вмешательства. MikroTik рекомендует после обновления самостоятельно проверить конфигурацию на неизвестные scripts, users и другие изменения.

Нужно ли закрывать WinBox и SSH из интернета

Для домашней сети и большинства небольших объектов прямой доступ к панели управления маршрутизатора из интернета обычно не требуется. Более безопасная схема — firewall блокирует management на WAN, а администратор сначала подключается к WireGuard и уже через защищённый туннель обращается к локальному адресу роутера.

Это уменьшает поверхность атаки не только для конкретной MikroTrick, но и для будущих уязвимостей, которые ещё не обнаружены или не исправлены.

Итог

Сентябрьские события вокруг RouterOS одновременно показывают две стороны обновлений сетевого оборудования. Откладывать security fixes опасно, особенно если management-сервисы доступны извне. Но ставить любую новую сборку вслепую тоже неправильно: 7.23.6 и 7.24.3 получили официальное предупреждение для ряда LTE-устройств.

Практический подход — знать точную модель оборудования, ветку RouterOS и открытые наружу сервисы, иметь резервную копию, проверить advisory и changelog, а после обновления провести аудит конфигурации.