【安全圈】MikroTik公网SSH曝未授权漏洞，路由器遭批量劫持

安全圈 · 2026-09-07 19:00 · 5 阅读

安全圈 2026-09-07 19:00 江苏

关键词漏洞核心要点：波兰国家计算机应急响应团队（CERT Polska）发布高危警报，代号为 MikroTri

关键词

漏洞

核心要点：波兰国家计算机应急响应团队（CERT Polska）发布高危警报，代号为 MikroTrick 的未知攻击链正针对全球公网开放 SSH 服务的 MikroTik RouterOS 路由设备发起大规模未授权控制攻击。攻击者无需密码凭证即可取得设备的完全最高管理权限。受影响设备涵盖 RouterOS v6 与 v7 绝大部分历史版本。

一、攻击态势与利用特征

根据 CERT Polska 发布的在途攻击通报，针对 MikroTik 路由器的自动化入侵至少始于 2026 年 9 月 2 日。

该攻击主要面向将 Secure Shell（SSH）端口（默认 TCP 22）直接映射至公网或未配置有效输入过滤策略的设备。黑客利用由两处底层逻辑漏洞拼合而成的“双漏洞利用链”，绕开身份验证流程，强制生成具有最高系统权限的常驻管理账号，从而将路由器完全变成攻击者的网络代理跳板或流量窃听节点。

二、受影响 RouterOS 版本与官方修复清单

MikroTik 官方已在各发行分支上推送了防护固件。请各企业与网络运维人员立即核对自身版本：


发行分支 (Release Channel)	受影响版本区间	安全修复版本
RouterOS v6 (Legacy)	6.0.0 至 6.49.20	6.49.21
RouterOS v7 Long-term	7.0.0 至 7.23.3	7.23.5（已修复7.23.4的DHCPv6回退缺陷）
RouterOS v7 Stable	7.24 至 7.24.1	7.24.2
Development 分支	7.25 早期开发预览版	7.25beta3

三、入侵排查四步法（IoC 指征）

如果您维护的 MikroTik 设备此前曾在 WAN 侧暴露了管理服务，请立刻通过终端控制台执行以下检测命令：

# 1. 检查设备状态是否触发安全标记（Flagged 状态） /system/device-mode/print # 2. 检查系统用户列表中是否存在未知高权限账号 /user/print # 3. 检查系统日志中是否存在特征字符串 "ssh:-2@" /log/print where message~"ssh:-2@" # 4. 检查是否有未授权的计划任务或后台脚本 /system/script/print /system/scheduler/print

检查 Flagged 状态：
MikroTik 系统内置的自检机制在发现异常配置篡改时会将设备置为 Flagged 模式并禁用部分高敏接口。若回显显示该状态，表明设备极大概率已被入侵。
特征账号与日志标志：
CERT Polska 确认黑客在提权时通常会留下日志标记 ssh:-2@，管理员需重点清查此类记录及名为 ops 的非原生运维账号。

四、被黑设备应急处置与防御策略

若确认路由器已失陷，切勿直接恢复历史全量备份（.backup），否则会将黑客植入的后门配置重新写回系统。建议遵循规范应急响应流程：

物理隔离与日志固化：
拔掉外网网线，在内网导出当前的系统日志与配置文件文本供溯源审计。
固件重刷与恢复出厂：
推荐使用 MikroTik 官方 Netinstall 工具对设备进行完全格式化重刷，更新到安全版本后执行出厂重置。
重新生成凭据：
全面更换设备管理员密码、SSH 密钥、VPN 预共享密钥及 RADIUS 认证凭据。
严苛的入站防火墙策略：
在 /ip service 中关闭公网 SSH、Telnet、FTP、WWW 及 Bandwidth-Test（2000端口），或限制仅允许特定内网管理接口接入。