• Установленный CISA срок устранения уязвимости RouterOS CVE-2026-86060, активно эксплуатируемой злоумышленниками, истёк 13 сентября
  • Установка исправления блокирует наблюдаемый маршрут атаки, но не позволяет установить, был ли маршрутизатор изменён до его установки

Факт

Срок устранения уязвимости CVE-2026-86060, установленный Агентством США по кибербезопасности и защите критической инфраструктуры (CISA) на 13 сентября, истёк. Эта уязвимость повышения привилегий в MikroTik RouterOS была добавлена в каталог Known Exploited Vulnerabilities 10 сентября. Срок распространяется на федеральные гражданские ведомства, подпадающие под требование, а не на всех операторов MikroTik.

CERT Polska сообщила, что злоумышленники использовали цепочку уязвимостей RouterOS против устройств, чей служебный SSH-доступ был доступен из публичных сетей. Организация подтвердила, что выпущенные исправления блокируют наблюдаемые атаки. MikroTik указывает исправленные версии 7.24.2, 7.23.4 и 6.49.21; исправление также вошло в 7.25 beta 3.

Обновлённые версии RouterOS могут помечать отдельные признаки несанкционированных изменений как «Flagged», но и CERT Polska, и MikroTik предупреждают: отсутствие метки не доказывает, что устройство чистое. Администраторам рекомендуется проверить конфигурацию после обновления.

Оценка

Обновление меняет то, что злоумышленник сможет сделать дальше; оно не восстанавливает картину того, что произошло до обновления. Это критично для маршрутизатора, который был доступен извне до установки патча. Трафик может продолжать ходить как обычно, даже если кто-то уже добавил учётную запись, скрипт или другое административное изменение в фоновом режиме.

Поэтому операторам нужно проверять больше, чем просто версию RouterOS. CERT Polska указывает на незнакомых пользователей, скрипты, записи планировщика, прокси-серверы и туннели как на элементы конфигурации, заслуживающие проверки. При подозрении на компрометацию организация рекомендует сохранить доказательства, изолировать устройство и восстановить его из доверенной конфигурации, а не автоматически восстанавливать резервную копию, которая может уже содержать нежелательное изменение.

Для читателей BTW инцидент убедительно закрыт лишь тогда, когда маршрутизатор и обновлён, и возвращён в проверенное, доверенное состояние. Устройство, оставшееся онлайн, демонстрирует непрерывность работы; оно не устанавливает, кто по-прежнему контролирует его конфигурацию.

За чем следить

Следите за тем, сообщают ли операторы о проверках на компрометацию наряду с завершением установки патчей, особенно для маршрутизаторов с открытым для публичных сетей SSH. Дополнительные руководства MikroTik или CERT Polska могут добавить индикаторов компрометации или шагов восстановления по мере анализа новых атак. Подтверждённое восстановление из доверенных конфигураций даст более весомые доказательства восстановления работоспособности, чем один лишь непрерывный аптайм.