MikroTik มีช่องโหว่ที่ถูกใช้โจมตีแล้ว, 122,500 เครื่องเปิด SSH สู่อินเทอร์เน็ต

โดย Nokka (นก-กา) | 11 กันยายน 2026

บทความนี้เขียนโดย AI (deepseek-v4.1-flash) ผ่าน Hermes Agent ตรวจสอบและเรียบเรียงโดย Nokka

ผู้ผลิตอุปกรณ์เครือข่าย MikroTik ออกแพตช์สำหรับหกช่องโหว่ในเฟิร์มแวร์ RouterOS โดยสองช่องโหว่สามารถใช้ต่อกันเพื่อยึดอุปกรณ์ได้โดยไม่ต้องยืนยันตัวตนผ่าน SSH และชุดโจมตีนี้ถูกใช้จริงในโลกแล้ว [1]

แพตช์มีให้ในเวอร์ชัน 7.25 beta 3, 7.24.2, 7.23.4 และ 6.49.21 ตรวจสอบว่าอุปกรณ์ของคุณอยู่เวอร์ชันใดแล้วอัปเดตให้ตรง [1]

ชื่อที่ตั้งให้การโจมตีชุดนี้คือ MikroTrick และทีมวิจัยจาก CERT Polska เป็นผู้ค้นพบ [2]

ช่องโหว่อยู่ตรงไหน

ช่องโหว่ทั้งหกอยู่ในส่วนประกอบต่าง ๆ ของเฟิร์มแวร์ ทั้งเซิร์ฟเวอร์และไคลเอนต์ SSH บริการทดสอบแบนด์วิดท์ โค้ดจัดการใบรับรอง และหน้าจอจัดการผ่านเว็บ [1]

ทีมวิจัยโปแลนด์ระบุว่าในระยะหลังตรวจพบการโจมตีอุปกรณ์ RouterOS ที่เข้าถึงได้จากอินเทอร์เน็ต และยืนยันได้ว่าผู้โจมตีใช้ช่องโหว่ชุดนี้เพื่อยึดการควบคุมเครื่องที่เปิด SSH สู่อินเทอร์เน็ต [2]

ช่องโหว่ที่ร้ายแรงที่สุด

ช่องโหว่ระดับรุนแรงที่สุดคือการตรวจสอบกุญแจสาธารณะแบบ RSA ไม่ครบถ้วน มีรหัสกำกับคือ CVE-2026-67276 [1]

ตามหลักการแล้ว SSH เป็นโปรโตคอลที่ออกแบบมาอย่างดีและผ่านการตรวจทานมามาก แต่ข้อผิดพลาดในการเขียนโค้ดทำให้ RouterOS ไม่เปรียบเทียบกุญแจสาธารณะทั้งชุดที่ผู้ใช้ส่งมา ซึ่งเปิดทางให้ผู้โจมตีที่รู้ชื่อผู้ใช้และค่าโมดูลัสสาธารณะ สร้างกุญแจส่วนตัวที่ผ่านการยืนยันตัวตนได้ [1]

สิทธิ์ที่ได้จากช่องนี้คือสิทธิ์ของผู้ใช้ที่ตกเป็นเป้า แต่ช่องโหว่ที่สองเข้ามาเสริม ทำให้ยกระดับสิทธิ์เป็นระดับผู้ดูแลระบบสูงสุดได้ [1]

ช่องที่สองมีรหัสกำกับคือ CVE-2026-86060 มาจากข้อผิดพลาดอีกจุดในการจัดการชื่อผู้ใช้ที่มีอักขระพิเศษอยู่ข้างหน้า ซึ่งเปิดทางให้สร้างชื่อผู้ใช้ที่มีสิทธิ์ผู้ดูแลระบบเต็มบนระบบปฏิบัติการ [1]

ตัวเลขที่ควรจับตา

งานสแกนของมูลนิธิ Shadowserver พบว่ามีอุปกรณ์ MikroTik มากกว่า 122,500 เครื่อง ที่เปิด SSH ให้เข้าถึงได้จากอินเทอร์เน็ต โดยประเทศที่มีจำนวนมากที่สุดคือบราซิล สหรัฐฯ และอินโดนีเซีย [1]

MikroTik แนะนำชัดเจนว่าอย่าเปิดบริการ SSH บนอินเทอร์เฟซที่หันสู่อินเทอร์เน็ต แม้จะไม่ใช่ค่าตั้งต้นจากโรงงาน แต่การตั้งค่าที่เปิดไว้เองเป็นสาเหตุหลัก [1]

ระบบตรวจสอบที่ MikroTik เพิ่มเข้ามา

MikroTik เพิ่มกลไกที่ตรวจสอบว่าอุปกรณ์ถูกแก้ไขโดยไม่ได้รับอนุญาตหรือไม่ ถ้าพบจะตั้งสถานะเป็น "Flagged" และบันทึกไว้ในบันทึกของระบบ [1]

แต่ทีมวิจัย CERT Polska เตือนว่าเครื่องหมายนี้เป็นข้อบ่งชี้ถึงการถูกแก้ไข ไม่ได้บอกว่าใช้ช่องโหว่ตัวไหน และการไม่มีเครื่องหมายนี้ก็ไม่ได้แปลว่าอุปกรณ์ปลอดภัย [2]

ประเด็นสำคัญที่ทีมวิจัยย้ำคือ การไม่มีเครื่องหมายนี้ไม่ได้แปลว่าอุปกรณ์ปลอดภัย และเราไม่สามารถตัดความเป็นไปได้ว่ามีช่องโหว่อื่นที่ผู้ผลิตไม่ได้ระบุในบันทึกการเปลี่ยนแปลง [1]

สิ่งที่ต้องทำถ้าพบเครื่องหมาย Flagged

ทีมวิจัยเสนอขั้นตอนที่ชัดเจน [2]

แยกอุปกรณ์ออกจากเครือข่ายทันที เพื่อหยุดการเข้าถึงต่อ

บันทึกการตั้งค่าและบันทึกระบบไว้ เพื่อวิเคราะห์ย้อนหลัง

รีเซ็ตกลับเป็นค่าโรงงาน แล้วตั้งค่าใหม่จากไฟล์ที่สะอาด

เปลี่ยนกุญแจและรหัสทั้งหมด ที่เคยใช้บนอุปกรณ์นั้น

ถ้ายังอัปเดตไม่ได้ทันที ควรปิดหรือบล็อกการเข้าถึง SSH รวมถึงหน้าจอจัดการผ่านเว็บ และบริการทดสอบแบนด์วิดท์จากเครือข่ายที่ไม่น่าเชื่อถือ [1]

ทีมวิจัยยังเตือนเพิ่มว่าอย่าเริ่มการเชื่อมต่อจากอุปกรณ์ที่ยังไม่แพตช์ และอย่าใช้ไคลเอนต์ SSH ที่ติดมากับอุปกรณ์ โดยเฉพาะเมื่อการสื่อสารผ่านเครือข่ายที่ไม่น่าเชื่อถือ [2]

ข้อควรระวังเพิ่มเติม

หนึ่ง อุปกรณ์ MikroTik เป็นที่นิยมในวงการเครือข่ายไทย ทั้งร้านค้า โรงเรียน หน่วยงานราชการ และผู้ให้บริการอินเทอร์เน็ตขนาดเล็ก ความเสี่ยงจึงไม่จำกัดอยู่ที่องค์กรใหญ่

สอง การเปิด SSH สู่อินเทอร์เน็ตไม่ใช่ค่าตั้งต้น แต่ผู้ดูแลระบบทำเองด้วยเหตุผลด้านความสะดวก ซึ่งเป็นรูปแบบที่พบซ้ำ ๆ ในเหตุการณ์ความปลอดภัยของอุปกรณ์เครือข่าย

สาม การอัปเดตเฟิร์มแวร์เป็นวิธีแก้ที่ต้องทำ แต่ต้องทำพร้อมกับการตรวจสอบว่าอุปกรณ์ถูกแก้ไขไปแล้วหรือไม่ เพราะแพตช์ไม่ได้ล้างการเข้าถึงที่ผู้โจมตีสร้างไว้ก่อนหน้า

สี่ วิธีเข้าถึงที่ปลอดภัยที่สุดตามที่ผู้ผลิตแนะนำคือใช้ VPN เช่น WireGuard แล้วอย่าเปิดพอร์ตจัดการใด ๆ สู่อินเทอร์เน็ตเลย [1]

มุมมองจากคนที่ดูแลระบบเล็ก ๆ ด้วยตัวเอง

ผมดูแลระบบที่รันบนเครื่องของตัวเองและเคยตั้งค่าอุปกรณ์เครือข่ายมาบ้าง และเข้าใจดีว่าทำไมคนถึงเปิด SSH สู่อินเทอร์เน็ต เพราะความสะดวกในการเข้าถึงจากที่ไหนก็ได้ชวนให้ทำมาก

แต่เหตุการณ์นี้ชี้ให้เห็นว่าเหตุผลของความสะดวกไม่เคยชนะในระยะยาว เพราะพอร์ตที่เปิดไว้จะถูกสแกนเจอไม่ช้าก็เร็ว

ผมคิดว่าคนดูแลระบบขนาดเล็กควรนับก่อนว่ามีอุปกรณ์กี่ชิ้นที่เปิดพอร์ตจัดการสู่อินเทอร์เน็ต ถ้าคำตอบคือมากกว่าศูนย์ คำถามต่อไปคือจำเป็นจริงไหม และถ้าจำเป็น มีวิธีที่ปลอดภัยกว่าไหม

สำหรับคนที่เพิ่งเริ่มดูแลระบบเอง VPN สำหรับเข้าถึงภายในตั้งค่าครั้งเดียวแล้วใช้ได้ยาว และปลอดภัยกว่าการเปิดพอร์ตตรง ๆ มาก

แหล่งอ้างอิง

[1] Constantin, L., "MikroTik patches flaws currently being exploited to take over routers", CSO Online (9 ก.ย. 2026), https://www.csoonline.com/article/4220390/mikrotik-patches-flaws-currently-being-exploited-to-take-over-routers.html

[2] CERT Polska, "Vulnerabilities in MikroTik RouterOS actively exploited" (ก.ย. 2026), https://cert.pl/en/posts/2026/09/vulnerabilities-in-mikrotik-routeros-actively-exploited/