สรุปสั้น
CERT Polska เผยแพร่การวิเคราะห์เชิงเทคนิคของเชนช่องโหว่ที่ตั้งชื่อว่า MikroTrick ซึ่งผสานช่องโหว่ SSH สองรายการของ MikroTik RouterOS เข้าด้วยกันเพื่อให้ผู้โจมตีเข้าควบคุมเราเตอร์ที่เปิด SSH สู่อินเทอร์เน็ตได้เต็มสิทธิ์ผู้ดูแลระบบ โดยไม่ต้องมีรหัสผ่าน คีย์ SSH หรือการยืนยันตัวตนที่สมบูรณ์ เชนนี้ประกอบด้วยช่องโหว่ state-machine ของ SSH (CVE-2026-67279) กับช่องโหว่ argument injection ในกระบวนการล็อกอินของ RouterOS (CVE-2026-86060) ร่องรอยการโจมตีปรากฏตั้งแต่อย่างน้อยวันที่ 2 กันยายน ซึ่งเป็นหนึ่งวันก่อน MikroTik ปล่อยแพตช์ใน RouterOS 6.49.21, 7.23.4 และ 7.24.2
ก่อนหน้านี้ CERT Polska เคยเตือนเมื่อวันที่ 5 กันยายนว่ามีการใช้ช่องโหว่ RouterOS ยึดอุปกรณ์ที่เปิดบริการ SSH สู่เครือข่ายสาธารณะ (รายงานในโพสต์ 044 ) แต่คำเตือนนั้นยังไม่ได้ระบุว่าเป็นช่องโหว่คู่ใดหรืออธิบายวิธีที่ทั้งสองทำงานร่วมกัน การวิเคราะห์ล่าสุดนี้ให้รายละเอียดครบทั้งสองส่วน และ CISA ได้เพิ่ม CVE-2026-86060 เข้าในบัญชีช่องโหว่ที่ถูกใช้โจมตีจริง (Known Exploited Vulnerabilities) เมื่อวันที่ 10 กันยายน ซึ่งเป็นการยืนยันอย่างอิสระว่ามีการใช้โจมตีจริง
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 23 กันยายน 2569 ว่า ช่องโหว่ SSH ของ MikroTik RouterOS สองรายการที่นำมาผสานกันในชื่อ MikroTrick เปิดทางให้ผู้โจมตีเข้าควบคุมเราเตอร์ที่เปิดสู่อินเทอร์เน็ตได้เต็มสิทธิ์ โดยไม่ต้องผ่านการยืนยันตัวตน
SSH กำหนดให้ทำงานสามขั้นตามลำดับ คือสร้างการเชื่อมต่อที่เข้ารหัส ยืนยันตัวผู้ใช้ แล้วจึงให้ไคลเอนต์เปิดเซสชันและรันคำสั่ง โดยเซิร์ฟเวอร์จะส่งข้อความเฉพาะ (SSH_MSG_USERAUTH_SUCCESS) เพื่อยืนยันว่าผ่านการยืนยันตัวแล้ว CVE-2026-67279 ทำลายลำดับนี้ หากไคลเอนต์เริ่มการเจรจาคีย์ SSH ใหม่ (key renegotiation) ระหว่างขั้นยืนยันตัว RouterOS ที่มีช่องโหว่จะข้ามไปยังขั้นรับคำสั่งทันทีเมื่อการเจรจาเสร็จ โดยไม่เคยยืนยันตัวตนผู้ใช้ ช่องโหว่นี้ไม่ได้สร้างเซสชันที่ยืนยันแล้วหรือให้สิทธิ์ใด ๆ ด้วยตัวเอง แต่ทำให้ไคลเอนต์ที่ยังไม่ยืนยันตัวเข้าถึงขั้นที่ควรต้องล็อกอินสำเร็จก่อนได้
CVE-2026-86060 เปลี่ยนการเข้าถึงนั้นให้กลายเป็นสิทธิ์ผู้ดูแลเต็มรูปแบบ RouterOS จะเรียกโปรแกรมล็อกอิน (/nova/bin/login) ที่รับชื่อผู้ใช้และระดับสิทธิ์จาก SSH daemon เป็นอาร์กิวเมนต์บรรทัดคำสั่ง โดยไม่ตรวจสอบชื่อผู้ใช้ก่อน ค่าที่ขึ้นต้นด้วยเครื่องหมายขีด (-) จะถูกตีความเป็นตัวเลือกของโปรแกรมแทนชื่อ ผู้โจมตีจึงส่ง -2 เป็นชื่อผู้ใช้ ทำให้โปรแกรมล็อกอินอ่านตัวตนและระดับสิทธิ์จาก file descriptor 2 ซึ่งชี้ไปยังเทอร์มินัลที่เซสชัน SSH สร้างขึ้น และเนื่องจากผู้โจมตีเขียนชื่อผู้ใช้และค่าระดับสิทธิ์ผู้ดูแลลงในเทอร์มินัลนั้นผ่านช่อง SSH ไว้แล้ว โปรแกรมล็อกอินจึงยอมรับทั้งสองค่าและเปิดคอนโซลที่มีสิทธิ์เต็ม
หลักฐานการโจมตีก่อนแพตช์ออก
เชนนี้ทิ้งร่องรอยที่ชัดเจนในบันทึกของอุปกรณ์ คือความพยายามล็อกอินที่ล้มเหลวสำหรับผู้ใช้ชื่อ -2 CERT Polska ระบุว่าบันทึกที่ตรงกับรูปแบบนี้ปรากฏบนฟอรัม MikroTik ตั้งแต่วันที่ 2 กันยายน ซึ่งเป็นหนึ่งวันก่อนแพตช์จะพร้อมใช้งาน และเชื่อว่าเชนนี้ถูกใช้โจมตีก่อน MikroTik ปล่อยแพตช์ รายงานวินิจฉัยบนฟอรัมแสดงลำดับการโจมตีบนอุปกรณ์เครื่องหนึ่ง ทั้งการปฏิเสธการยืนยันตัวสำหรับ -2, การบังคับเจรจาคีย์ใหม่, การกระโดดไปขั้นช่องทาง (channel) และคำขอ exec ที่พยายามสร้างผู้ใช้ชื่อ ops ที่มีสิทธิ์เต็ม โดยโพรเซส SSH ล่มก่อนคำสั่งจะเสร็จบนเครื่องนั้น แต่รายงานอื่นยืนยันว่าบัญชี ops ถูกสร้างสำเร็จบนอุปกรณ์ที่ได้รับผลกระทบ ในบางเหตุการณ์ CERT Polska พบการสร้างไฟล์วินิจฉัยตามด้วยการถ่ายโอนข้อมูลไปยัง IP ของผู้โจมตี ซึ่งบ่งชี้อย่างหนักแน่นว่าข้อมูลการตั้งค่าถูกคัดลอกออกไปยังโครงสร้างพื้นฐานของผู้โจมตี
CERT Polska ยังชี้ว่าบางสำนักข่าวรายงานผิดพลาดว่ามีช่องโหว่ที่สามคือ CVE-2026-67276 รวมอยู่ในเชนด้วย แต่จริง ๆ แล้วเป็นช่องโหว่ SSH แยกต่างหากที่ให้ผู้โจมตีปลอมคีย์ RSA เพื่อล็อกอินเป็นผู้ใช้ที่มีอยู่ ซึ่งต้องรู้ชื่อบัญชีและ public key อยู่ก่อน และให้สิทธิ์เข้าถึงเฉพาะบัญชีนั้น MikroTik ระบุว่าค่าคอนฟิกบ้านเริ่มต้นไม่ได้เปิด SSH สู่อินเทอร์เน็ต แต่ผู้ดูแลที่แก้กฎไฟร์วอลล์หรือจัดการอุปกรณ์ผ่าน SSH จากเครือข่ายที่ไม่น่าเชื่อถือจะเสี่ยงสูงกว่า
ผลกระทบ
เราเตอร์ MikroTik เป็นอุปกรณ์ที่ใช้แพร่หลายทั้งในองค์กร ผู้ให้บริการอินเทอร์เน็ต และผู้ใช้ทั่วไป การที่เชน MikroTrick ยึดอุปกรณ์ได้เต็มสิทธิ์โดยไม่ต้องรหัสผ่านทำให้ผู้โจมตีสามารถดักจับทราฟฟิก เปลี่ยนเส้นทาง สร้างบัญชีผู้ดูแลถาวร หรือใช้อุปกรณ์เป็นฐานโจมตีต่อได้ ที่น่ากังวลคือมีหลักฐานการคัดลอกไฟล์การตั้งค่าออกไป ซึ่งอาจเผยข้อมูลรับรองและโครงสร้างเครือข่ายภายใน แม้ยังไม่มีการเผยแพร่จำนวนอุปกรณ์ที่ถูกบุกรุกอย่างเป็นทางการ แต่การที่ CISA เพิ่มช่องโหว่เข้า KEV ยืนยันว่าการโจมตีเกิดขึ้นจริงและกำลังดำเนินอยู่ อุปกรณ์ที่เปิด SSH สู่อินเทอร์เน็ตทุกเครื่องจึงควรถือว่าอยู่ในความเสี่ยง
คำแนะนำ
ผู้ดูแลควรอัปเดต RouterOS เป็นเวอร์ชัน 6.49.21, 7.23.4 หรือ 7.24.2 ขึ้นไปทันที และปิดการเข้าถึง SSH จากอินเทอร์เน็ตหากไม่จำเป็น การแพตช์ป้องกันการโจมตีได้ แต่ไม่ลบการเปลี่ยนแปลงที่ผู้โจมตีทำไว้ก่อนอัปเดต หลังอัปเดตควรตรวจสถานะ Flagged ด้วยคำสั่ง /system/device-mode/print โดย CERT Polska และ MikroTik ต่างเตือนว่ากลไก Flagged ตรวจพบเพียงบางร่องรอยเท่านั้น การไม่พบธงไม่ได้พิสูจน์ว่าอุปกรณ์ปลอดภัย ผู้ดูแลจึงควรตรวจหาผู้ใช้ที่ไม่รู้จัก สคริปต์ รายการใน scheduler อุโมงค์ พร็อกซี ไฟล์วินิจฉัย .rif ที่ไม่คาดคิด หรือกิจกรรม fetch ที่อธิบายไม่ได้ หากพบตัวบ่งชี้เหล่านี้ CERT Polska แนะนำให้แยกอุปกรณ์ออก เก็บบันทึกและการตั้งค่าไว้ รีเซ็ตโรงงาน แล้วสร้างใหม่จากคอนฟิกที่เชื่อถือได้ พร้อมเปลี่ยนรหัสผ่านและคีย์ทั้งหมด และไม่ควรกู้คืนจากไฟล์สำรองของอุปกรณ์ที่ถูกบุกรุก
Indicators of Compromise (IoCs)
| ประเภท | ค่า | คำอธิบาย |
|---|---|---|
| Username | -2 | ปรากฏในบันทึกล็อกอิน SSH ที่ล้มเหลว |
| Account | ops | บัญชีในกลุ่มสิทธิ์เต็มที่ผู้โจมตีสร้าง |
| IP | 82.192.72[.]4 | พบในการโจมตีที่สำเร็จ (defang แล้ว) |
| IP | 103.102.31[.]18 | ใช้ในความพยายามโจมตี (defang แล้ว) |
IP ถูก defang ไว้ (แทน . ด้วย [.]) เพื่อความปลอดภัย