先說結論：若 MikroTik RouterOS 設備開放 SSH 管理，應優先核對 CVE-2026-67279 與對應固定版本。CERT Polska 在九月五日公布這項驗證流程問題：特定狀態下 SSH 服務可能在未完成使用者驗證時進入後續連線流程。SSH 是遠端管理設備的加密通道；CISA 九月二十五日將漏洞納入已知遭利用目錄。本文於十月四日重新查核兩個獨立官方來源，重點是版本和管理入口，而非提供重現方法，也不宣稱每台路由器已受入侵。
背景與前因：RouterOS 可能部署在企業邊界、分支網路或遠端站點，管理入口的暴露方式相差很大。CERT Polska 在協調披露多個 RouterOS 漏洞時，分別列出每一編號的原因與受影響版本；這篇只聚焦 CVE-2026-67279，不把同批其他 SSH、WebFig 或密碼學問題混成同一弱點。原研究公告是九月五日，CISA 在九月二十五日才收錄 KEV，補刊於十月四日查核。這三個日期代表不同步驟，不應用補刊時間取代事件時間。對維運團隊而言，先確認實際設備與可達性，比只看單一危險分數更有助於排序。
原因與前置條件：CERT Polska 指出，在特定重新協商狀態後，RouterOS SSH 可讓連線進入原本應在身分驗證後才開放的流程。重新協商是加密連線中更新金鑰或狀態的程序；流程若跳錯階段，未驗證用戶可能取得不應有的命令通道。研究公告同時說明，受影響組建可能允許在設備管理檔案範圍內建立或覆寫檔案。這是漏洞能力，不表示所有開啟 SSH 的設備都已被改動。公開文章不描述觸發請求或可複製的連線序列，讓讀者將注意力放在修補、限制管理網路與檢查配置變動。
影響範圍：CERT Polska 對 CVE-2026-67279 列出的受影響區間包括 RouterOS 7.24 至 7.24.2 之前、7.0.0 至 7.23.4 之前，以及 6.0.0 至 6.49.21 之前的相應分支。固定版分別包括穩定支線 7.24.2、長期支線 7.23.4 與 6.49.21。不同設備可能另有較新的版本，仍應從原廠更新管道確認適用支線。研究公告還列有其他 CVE，其中某些後續修補版本不同，不能用本篇版本表推論所有同批漏洞均已解決。產品清單與管理埠實際可達性也要由現場核實。
這個事件至少有兩個需要分開閱讀的官方時間點。CERT Polska 在 2026-09-05 公開與 CVE-2026-67279 相關的產品資訊；CISA 於 2026-09-25 將同一編號收錄於已知遭利用漏洞目錄。後者又稱 KEV，是政府用來標示已有利用證據、應提高處置優先級的公開清單。收錄日期不等於漏洞首次出現，也不會替任何單一單位證明資產已被攻破。本文在 2026-10-04 重新取得兩份來源，將原始事件與本次查核日期分開標示。
風險判斷應回到具體產品與部署條件。官方來源明確區分此 SSH 驗證流程弱點與同批其他 CVE，未證明每台 MikroTik 設備都有 SSH 對外開放或已遭改動。即使漏洞已列入 KEV，也不能把全球的利用證據直接寫成讀者所在環境的事件報告；相反地，沒有看到本地告警同樣不足以保證從未有人嘗試存取。應先確認自己是否真正使用 啟用 SSH 管理服務且版本落在受影響範圍的 MikroTik RouterOS 設備，再把版本、可達性、服務角色和可用的紀錄放在同一個判斷框架內，避免只憑產品名稱或嚴重度分數作結論。
你可以怎麼做：先列出 RouterOS 設備、運行分支、SSH 是否啟用、管理埠可由哪些網段連入，以及是否有舊設備尚未納入集中盤點。依原廠支援的更新程序升至對應固定版或更新版，升級後從每台設備讀回版本，檢查核心路由與管理連線是否正常。把 SSH 限制在可信管理網段或透過受控 VPN 存取，避免直接暴露於不可信網路。若發現非預期使用者、腳本、檔案或設定改動，先保留日誌與組態快照，再交由授權人員調查。限制可達範圍有助於降低風險，但不是取代更新的永久修補。
盤點時可以把每一個RouterOS 設備寫成可追蹤的一列：產品與型號、目前版本、部署位置、管理責任人、對外或對內的可達性、資料最後確認時間，以及是否另有備援、測試或長期離線的副本。集中管理平台的清單可能漏掉尚未回報的設備，資產標籤也可能與實際運行版本不同；因此重要節點應由現場或受信任的管理介面再核對。把例外與期限記在同一份紀錄，比口頭說『都已檢查』更能支援後續複查。
修補完成的判斷不能只停在工單或下載紀錄。安排RouterOS SSH 修補之前，先按既有維運程序保存必要設定、確認支援與相容性，並準備回復方案；完成後從實際提供服務的節點讀取版本或修補狀態，測試最重要的正常工作流程。若同一服務有多個節點，應逐一驗證，避免流量切換後又落回未更新的副本。原廠日後可能更改修補路徑，本文記錄的是本次查核時可取得的官方資訊，更新工作仍應以最新公告為準。
事件應變和版本更新雖然相關，卻不是同一個檢查。版本落後足以支持儘快修補，未必證明曾遭利用；完成更新降低後續暴露，也不能倒推過去絕無異常。若既有監控出現可疑跡象，應保存原始日誌、時間線及必要的組態差異，交由有權限的資安或維運人員依組織流程判讀。公開文章不應包含任何真實憑證、個資、內部位址或可操作的利用步驟，以免在通報風險時增加新的暴露。
這起漏洞和同批披露的其他 RouterOS 問題不能共用一個『已修補』勾選框。尤其 CERT Polska 的文章另說明某個 RSA 驗證弱點曾有不完整修補，需要更後續版本；那不是 CVE-2026-67279 的固定版結論。為避免誤判，設備清單應記錄漏洞編號、版本支線與各自的修補結果。即使 SSH 未對網際網路公開，也要確認內部管理網段是否過大、是否有過期帳號及備援設備。沒有找到可疑檔案只能說目前缺少證據，不能倒推過去從未有未授權連線。
仍須由使用單位自行回答的問題是：目前有多少RouterOS 設備、哪些仍在受影響版本、RouterOS SSH 修補是否覆蓋正式與備援環境，以及保留的紀錄能否支持事件調查。CERT Polska 與 CISA 的公開資料提供產品界線和優先處置訊號，卻不能替每個現場完成資產盤點。若無法取得相應修補或環境已停止安全支援，應向供應商確認替代方案並記錄風險處置，不把臨時隔離措施描述成漏洞已經修復。
這篇補刊聚焦 CVE-2026-67279，原廠事件日期為 2026-09-05，CISA KEV 收錄日為 2026-09-25，兩個官方來源在 2026-10-04 重新查核。可交付的工作是確認 啟用 SSH 管理服務且版本落在受影響範圍的 MikroTik RouterOS 設備 的實際部署範圍、按原廠指引完成RouterOS SSH 修補、回讀結果並追蹤例外。公開公告支持修補優先級，並不等於任一特定讀者已遭入侵或資料外洩；最終影響仍須由現場證據和專業調查判定。
官方來源：
- Vulnerabilities in Mikrotik RouterOS software（CERT Polska）
- Known Exploited Vulnerabilities Catalog — CVE-2026-67279（CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。