MikroTik · RouterOS · API · WireGuard · CVE
Новые уязвимости MikroTik RouterOS: что проверить в API, WireGuard и удалённом доступе
В RouterOS раскрыты две проблемы безопасности, связанные с API. CVE-2026-16347 облегчает массовые попытки подбора учётных данных, а CVE-2026-14227 связана с сохранением прежних прав у уже открытой API-сессии после изменения разрешений. Практический вывод прост: management-сервисы MikroTik не должны быть доступны из недоверенных сетей без строгих ограничений.
Если API не используется, отключите его. Если используется, разрешите доступ только доверенным IP, management VLAN или через VPN. Проверьте пользователей, активные сессии и firewall input.
Две уязвимости, которые важно не смешивать
CVE-2026-16347
Недостаточное ограничение числа неудачных попыток аутентификации в RouterOS API. CISA оценивает CVSS v3.1 в 8,8.
CVE-2026-14227
Insufficient Session Expiration: активная API-сессия способна сохранять прежний набор разрешений после изменения прав пользователя. CVSS v3.1 — 4,9.
Обе проблемы относятся к management plane RouterOS. Риск особенно велик там, где API достижим из WAN, пользовательской LAN, IoT-сегмента или других недоверенных зон.
CVE-2026-16347: почему API нельзя оставлять доступным всем
По описанию CISA/NVD, RouterOS API не обеспечивает достаточной защиты от большого числа неудачных попыток входа. В некоторых версиях присутствует задержка после ошибки, но параллельные соединения позволяют обходить её и продолжать credential guessing.
Это не означает вход без пароля. Уязвимость повышает риск подбора там, где API уже доступен по сети.
CVE-2026-14227: изменение прав может не отозвать уже открытый доступ
NVD описывает проблему как недостаточное завершение API-сессии. Уже активная сессия может продолжить использовать прежний набор разрешений после изменения user group или других событий, при которых администратор ожидает снижение доступа.
Сессия получила текущие права.
Администратор меняет группу или доступ.
Прежние разрешения могут сохраняться.
Поэтому после компрометации учётной записи недостаточно просто поменять группу пользователя и считать проблему закрытой.
При чём здесь WireGuard private key
NVD формулирует CVE-2026-14227 как проблему stale session permissions. CISA в оценке воздействия отдельно указывает, что при подходящем API-доступе это может привести к извлечению WireGuard private key в открытом виде.
Речь не идёт о том, что любой человек из интернета может без авторизации получить ключ WireGuard. Сначала нужен соответствующий API-доступ и набор разрешений.
Какие версии считаются затронутыми
В текущих записях CISA/NVD для обеих CVE статус affected указан как all versions RouterOS. Для CVE-2026-16347 отдельно указан Cloud Hosted Router.
Но фактический риск зависит от конфигурации: включён ли API, где он доступен, какие пользователи существуют и какие firewall/service restrictions настроены.
Есть ли подтверждённая исправленная версия
На момент проверки официальные записи CISA/NVD не называют конкретную RouterOS-версию как подтверждённый fix именно для CVE-2026-16347 или CVE-2026-14227.
До появления подтверждённого исправления главным компенсирующим контролем остаётся изоляция management plane.
Как проверить, нужен ли вам API
Management-сервисы RouterOS находятся в /ip service.
/ip service printПроверьте API и API-SSL. Если автоматизация, мониторинг или внешняя система их не используют, сервис лучше отключить.
Что сделать прямо сейчас
- Отключите API/API-SSL, если они не нужны.
- Закройте management services с WAN.
- Разрешите API только доверенным адресам.
- Ограничьте management через firewall input.
- Используйте отдельный management VLAN.
- Для удалённого администрирования используйте VPN.
- Разделите admin и service accounts.
- Удалите неиспользуемые учётные записи.
- Проверьте WireGuard peers и активные API-интеграции.
- Следите за обновлением advisory CISA/MikroTik.
Firewall и management VLAN важнее смены стандартного порта
CISA рекомендует ограничить доступ к management services из недоверенных сетей и применять firewall rules. Смена 8728 на другой порт уменьшает шум сканирования, но не заменяет реальную изоляцию.
Не используйте full-admin для мониторинга и скриптов
WinBox, API, monitoring и backup используют одну учётную запись.
Каждая интеграция получает только нужные policies и отдельный пароль.
CVE-2026-14227 дополнительно показывает, почему после изменения прав нужно учитывать уже открытые сессии, а не только текущую запись пользователя.
Нужно ли менять WireGuard keys
Если API никогда не был доступен недоверенным клиентам, нет подозрительных аккаунтов и нет признаков компрометации, срочная ротация всех WireGuard keys может быть избыточной.
Например, API был открыт наружу, пароль мог быть подобран или украден, существовала подозрительная low-privilege API-сессия или обнаружена неизвестная активность.
Проверьте и другие management services
Если сервис не нужен, его проще выключить. Если нужен, он должен быть доступен только из доверенной management-сети или через VPN.
Cloud Hosted Router: отдельное внимание
Для CHR риск особенно понятен: виртуальная машина часто имеет публичный IP и может случайно получить слишком широкие cloud firewall/security-group правила.
- не разрешайте 8728/8729 из
0.0.0.0/0; - ограничьте WinBox/SSH management IP;
- администрируйте CHR через VPN;
- проверьте cloud firewall отдельно от RouterOS firewall;
- делайте экспорт конфигурации перед обновлениями.
Типичные ошибки
«Нестандартный порт безопасен»
Сканирование находит сервисы и на других портах.
API доступен всему LAN
IoT, Guest и пользовательские VLAN не должны видеть management plane.
Один пароль для всего
Компрометация интеграции становится компрометацией администратора.
Смена группы = отзыв сессии
CVE-2026-14227 показывает, почему это предположение опасно.
API-SSL решает всё
TLS защищает канал, но не устраняет проблемы аутентификации и session state.
Ждать патч и ничего не делать
Management isolation полезна независимо от конкретной CVE.
Есть ли признаки активной эксплуатации
Для CVE-2026-14227 CISA-ADP на момент публикации указывала exploitation: none. В CISA Known Exploited Vulnerabilities Catalog эта CVE на момент проверки не значится.
Это не zero-day с подтверждённой массовой эксплуатацией, но компенсирующие меры простые и должны быть нормой для любого RouterOS.
Частые вопросы
Нужно ли отключать WireGuard?
Нет. Уязвимости относятся к RouterOS API/session management, а не к криптографическому протоколу WireGuard. WireGuard можно использовать для защищённого доступа к management-сети.
Если API выключен, опасна ли CVE-2026-16347?
Путь эксплуатации через API отсутствует, если сервис действительно отключён. Всё равно проверьте остальные management services.
API-SSL закрывает проблему?
Нет. TLS шифрует канал, но не исправляет rate limiting или stale permissions.
Все версии RouterOS затронуты?
Именно так указано в текущих записях CISA/NVD, но практический риск зависит от вашей конфигурации.
Какая версия RouterOS исправляет эти CVE?
На момент подготовки материала CISA/NVD не называли подтверждённую fixed version.
Вывод
CVE-2026-16347 и CVE-2026-14227 ещё раз показывают, почему RouterOS API нельзя воспринимать как обычный сервис внутри домашней сети. Management plane должен быть изолирован независимо от наличия конкретной CVE.
Отключите ненужный API, ограничьте нужный API доверенными адресами, закройте управление с WAN/IoT/Guest, разделите admin и service accounts и следите за официальным обновлением CISA/MikroTik. При признаках компрометации отдельно оцените необходимость ротации WireGuard keys и других credentials.
