先說結論：使用 MikroTik RouterOS 的單位應優先確認 CVE-2026-86060 及相關安全更新。RouterOS 是路由器與網路設備使用的作業系統，管理者常透過 SSH 進行遠端管理；SSH 是建立加密管理連線的服務。MikroTik 於 2026 年 9 月 3 日釋出多個分支的修補，波蘭國家級 CERT Polska 於 9 月 5 日公開對實際攻擊的觀察，CISA 於 9 月 10 日把此 CVE 納入已知遭利用漏洞目錄（KEV）。管理者應先核對設備版本與 SSH 是否對不受信任網路開放，依原廠更新，之後再檢查設備是否出現不認識的帳號或設定。這些是防禦性處置，並不表示每台未更新設備都已被攻擊。
背景與前因：MikroTik 的原廠公告最初只把多個 RouterOS 問題合併稱為重要安全更新，為爭取使用者修補時間，沒有立即公開所有技術細節。CERT Polska 是實際發現與協調揭露部分弱點的研究機構，之後說明 CVE-2026-86060 與另一個弱點組合時，曾在對外開放 SSH 的設備上出現實際攻擊。CISA 再以 KEV 目錄記錄它需要優先處理。原廠、研究機構與政府清單的公告日期各不相同，本文於 2026 年 10 月 4 日重新查核，不能把 9 月初的更新說成今天才發生，也不能把所有 RouterOS 漏洞誤寫成同一項技術原因。
原因與前置條件：CERT Polska 將 CVE-2026-86060 描述為 RouterOS 的 SSH 登入流程對使用者名稱處理不當，可能造成權限提升。權限提升是原本只有較低操作權限的連線，最後能做出更高權限的管理動作。研究團隊指出，實際觀察到的完整接管情境是多個弱點組合，且與設備的 SSH 服務可從公開網路到達有關。這與單獨聲稱『任何路由器只要連網便會被接管』有明顯差別。本文不描述構造登入資料或串接漏洞的方法；真正需要判斷的是管理服務是否暴露、設備版本是否修補、以及是否已有未授權的設定變更。
影響範圍：MikroTik 原廠列出含有相關修補的版本為 7.25 beta 3、7.24.2、7.23.4 與 6.49.21。這些數字屬於不同分支與測試或穩定更新線，不能把 beta 版當成每台正式設備都應直接安裝的唯一答案。維運人員應先讀出設備目前的 RouterOS 分支和版本，再依原廠當日可用的更新與支援政策選擇合適的修補版。若組織有多台設備、備援路由器或分散據點，只檢查邊界一台並不足夠。CERT Polska 的公告同時涵蓋數個獨立 CVE；本文聚焦 CVE-2026-86060 的管理權限風險，不把其他功能的弱點版本表不加區分地套在它身上。
觀察到攻擊與判斷本地受害是兩件事。CERT Polska 表示有針對公開可達 RouterOS 設備的實際攻擊，並指出更新可阻止其觀察到的攻擊方式；CISA 的 KEV 收錄提供另一個優先處置訊號。但兩者都沒有本文讀者設備的完整鑑識紀錄，也不會直接告訴你哪台路由器已被改動。CISA 的目錄是風險管理清單，不是對每個組織發出的入侵通知。若單位從未公開 SSH，也仍應核對版本並安排更新；不公開管理入口可以降低目前已知攻擊情境的曝露，不等於所有內部或未來風險都已消失。
你可以怎麼做：先建立 RouterOS 設備清單，記下所在網段、實際版本、負責人與管理介面可達範圍。對不必從公開網路管理的設備，依既有網路政策限制 SSH 等管理服務只對受信任管理網段開放；若確有遠端需求，應使用組織核准的安全存取方式，避免直接暴露管理入口。接著依 MikroTik 的更新功能與官方版本資訊安排修補，變更前保存受控的設定備份並確認回復計畫。更新後要從設備本身核對版本和正常路由功能，而不是只看管理平台說更新任務已送出。
MikroTik 提醒，修補後可檢查設備的 Flagged 狀態與日誌。Flagged 是原廠在部分修補版本中對已知可疑設定痕跡做出的警示標記；CERT Polska 特別說明，它只辨識特定痕跡，沒有出現標記不等於設備一定安全。管理者還應核對不認識的使用者、腳本、排程、代理或通道設定，與可信任的基準配置比較。若發現異常，應先保存日誌和設定，再交由應變人員依既有程序處理；不能為了讓警示消失而先清除紀錄。這些建議並非要求一般讀者公開設備資訊或嘗試不具授權的測試。
若暫時無法立即更新，限制管理服務曝露面只能作為短期減風險措施。對多據點網路來說，變更路由器服務可能影響遠端維運，因此應先確認哪些連線是必要的，安排窗口、責任人和可回復方式。原廠與 CERT Polska 都把更新放在核心位置，不能把『已限制 SSH』長期當成等效修補。若已發現可疑帳號或設定，處理也不該止於安裝新版本；應依事件調查結果決定隔離、重建及其他必要步驟。公告沒有提供每個企業的實際入侵範圍，不能用一張公開漏洞清單取代現場調查。
尚待組織自己確認的問題包括：哪些 RouterOS 設備仍使用舊分支、哪些管理入口對外開放、更新是否真的套用至每個節點，以及是否有未知設定需要調查。MikroTik、CERT Polska 與 CISA 分別提供修補版、研究觀察及 KEV 優先訊號，卻不會替讀者完成這些盤點。建立一份包含設備、版本、管理入口、更新後驗證與例外原因的追蹤紀錄，可以讓維運與資安團隊對同一批設備採取一致行動。後續若原廠修訂版本或研究者提供新事實，也應重新核對，不把目前的查核結果視為永久不變。
這篇補刊記錄的是 MikroTik 9 月 3 日的原廠更新、CERT Polska 9 月 5 日的公開警告，以及 CISA 9 月 10 日的 KEV 收錄，資料於 10 月 4 日重新查核。已確認的優先工作是按分支更新 RouterOS、減少不必要的 SSH 曝露，並在更新後檢查 Flagged 訊號與不認識的設定。尚未由來源確認的是任何特定讀者的路由器已遭接管；若本地真的發現異常，仍需保存證據並依正式應變程序判斷。把產品修補、管理入口和事件調查分開處理，能在不誇大公告的前提下，完成可驗證的防護工作。
官方來源：
- September 2026 vulnerability（MikroTik）
- Critical vulnerabilities in MikroTik RouterOS are being actively exploited. Immediate update recommended（CERT Polska）
- Known Exploited Vulnerabilities Catalog — CVE-2026-86060（CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。