摘要

  • CISA 为正在被利用的 RouterOS 漏洞 CVE-2026-86060 设定的 9 月 13 日修复期限已经过去
  • 安装修复补丁可阻断已观察到的攻击路径，但无法确定路由器在打补丁前是否已被修改

事实

US Cybersecurity and Infrastructure Security Agency 为 CVE-2026-86060 设定的 9 月 13 日修复期限已经过去。CVE-2026-86060 是一个 MikroTik RouterOS 权限提升漏洞，并于 9 月 10 日被列入该机构的 Known Exploited Vulnerabilities 目录。该期限适用于受相关要求约束的美国联邦文职机构，而非所有 MikroTik 运营者。

CERT Polska 表示，攻击者一直在利用由多个 RouterOS 漏洞构成的攻击链，攻击 SSH 管理服务可从公共网络访问的设备。该机构确认，已发布的补丁能够阻断其观察到的攻击。MikroTik 列出的已修复版本为 7.24.2、7.23.4 和 6.49.21，7.25 beta 3 也包含该修复。

更新后的 RouterOS 版本可将特定的未经授权变更迹象标记为 "Flagged"，但 CERT Polska 和 MikroTik 均警告，没有出现该标记并不能证明设备未遭入侵。建议管理员在更新后检查配置。

评估

更新会改变攻击者后续可采取的行动，却无法还原更新前发生过什么。这对于在打补丁前曾对外暴露的路由器至关重要。即使有人在后台添加了账户、脚本或其他管理配置变更，流量也可能继续正常传输。

因此，运营者需要检查的不仅是 RouterOS 版本。CERT Polska 指出，陌生用户账户、脚本、计划任务条目、代理服务器和隧道等配置项值得审查。如果怀疑设备已遭入侵，CERT Polska 建议保留证据、隔离设备，并基于可信配置进行恢复，而不是自动还原可能已经包含非预期变更的备份。

对 BTW 读者而言，只有在路由器既已打补丁，又恢复到经过审查且可信的状态时，才能更有把握地认定这起事件已经处置完毕。设备保持在线只能说明运行连续性；这并不能证明谁仍控制其配置。

后续关注

关注运营者是否在报告补丁完成情况的同时，也报告入侵排查结果，尤其是针对曾向公共网络开放 SSH 的路由器。随着更多攻击得到分析，MikroTik 或 CERT Polska 的进一步指导可能会补充失陷指标或恢复步骤。经确认且基于可信配置完成的重建，能够比仅凭正常运行时间提供更有力的恢复证据。