Luka w MikroTiku: router do przejęcia bez hasła przez WWW

Jedno spreparowane zapytanie do panelu WWW może wystarczyć, żeby ktoś z internetu przejął router MikroTik z najwyższymi uprawnieniami, bez znajomości loginu i hasła. Tak amerykańska agencja CISA opisała 29 września lukę CVE-2026-84411 w systemie RouterOS i oceniła ją na 9,8 w dziesięciostopniowej skali. Ataków na razie nikt nie zgłosił. 6 października MikroTik potwierdził lukę i wskazał poprawkę w wersji 7.24, a dla gałęzi long-term i RouterOS 6 poprawki jeszcze nie ma. Dla małej firmy albo lokalnego dostawcy internetu oznacza to krótką listę do zrobienia jeszcze dziś. Trzeba sprawdzić wersję systemu, zaplanować aktualizację MikroTik i upewnić się, że panel zarządzania nie odpowiada na zapytania z internetu.

Co wiadomo o luce w panelu WWW RouterOS

Błąd siedzi w usłudze, która obsługuje WebFig, czyli panel konfiguracji routera otwierany w przeglądarce. Według komunikatu CISA usługa źle liczy rozmiar danych przesyłanych w żądaniu HTTP. Dzieje się to, zanim router zapyta o hasło. Napastnik może tym wykonać na routerze własny kod jako root, czyli z pełnią uprawnień, albo po prostu go zawiesić. Lukę zgłosił CISA anonimowy badacz.

CISA podaje jako podatne wszystkie wersje RouterOS poniżej 7.24 i przekazuje zalecenie producenta, żeby przejść na 7.24 lub nowszą. Jeśli gdzieś czytałeś o wersji 7.23, to ślad pierwszego wydania komunikatu. Tak cytowały je 30 września BleepingComputer i użytkownicy forum MikroTika. Tego samego dnia CISA opublikowała poprawioną wersję, opisaną w danych technicznych komunikatu jako usunięcie literówki w numerze wersji. Obowiązuje więc 7.24 lub nowsza.

Aktualizacja z 8 października 2026: 6 października MikroTik opisał lukę na swojej stronie z komunikatami bezpieczeństwa i ocenił ją jako krytyczną. Producent potwierdza, że chodzi o błąd w obsłudze treści żądania HTTP w usłudze WebFig, który działa przed zalogowaniem. Podatne są wszystkie wersje przed 7.24, także RouterOS 6, na urządzeniach, których panel WWW jest osiągalny dla napastnika. W kanale stable poprawka jest od wersji 7.24. Dla gałęzi long-term 7.x i dla RouterOS 6 wydanie z poprawką jest dopiero zapowiedziane (“release pending”).

To osobna sprawa od łańcucha MikroTrick, który CERT Polska opisał we wrześniu. Tamte luki szły przez SSH i były już wykorzystywane w atakach, co opisaliśmy w tekście o sześciu lukach w MikroTik RouterOS. Nowa luka dotyczy panelu WWW i na razie nie ma potwierdzonych ataków.

Pierwsza Misja AI · Kodożercy

AI bez technikaliów – kurs i certyfikat

Pierwsza Misja AI to kurs Kodożerców dla absolutnych początkujących. Fabuła w konwencji science fiction, gamifikacja, ćwiczenia na żywym modelu, certyfikat na koniec.

Zacznij Pierwszą Misję →

Czy luka w MikroTiku dotyczy twojego routera

Ryzyko jest największe tam, gdzie spełnione są naraz dwa warunki. Router ma RouterOS w wersji niższej niż 7.24, a jego panel WWW odpowiada na zapytania z internetu. Tak bywa w małych biurach, gdzie ktoś kiedyś otworzył panel, żeby zarządzać routerem z domu. Może to dotyczyć także lokalnych operatorów, którzy zarządzają zdalnie wieloma urządzeniami u klientów.

Najprościej sprawdzić to z zewnątrz. Weź telefon, wyłącz w nim Wi-Fi i na danych komórkowych wpisz w przeglądarce publiczny adres IP firmy, zaczynając od http://, a potem od https://. Jeśli pojawi się ekran logowania MikroTika, panel jest wystawiony na świat. Pamiętaj, że usługa mogła zostać przeniesiona na inny port. Listę usług i portów zobaczysz w routerze w menu IP → Services.

Najtrudniej mają routery na gałęzi long-term. Najnowsze wydania 7.23.7 i 6.49.22 z 16 września poprawki nie mają, a MikroTik nie podał terminu jej wydania. Na takim routerze zostaje przejście na kanał stable albo zamknięcie panelu według kroków niżej. Producent dodaje, że w konfiguracji fabrycznej zapora blokuje panel WWW od strony internetu, więc router z domyślnymi regułami jest osiągalny tylko z sieci lokalnej. Ryzyko dotyczy więc przede wszystkim routerów, w których ktoś te reguły zmienił albo otworzył panel ręcznie.

Aktualizacja MikroTik i zamknięcie panelu krok po kroku

Polecenia poniżej wpisuje się w terminalu routera, w WinBoxie albo przez SSH. Przy routerach u klientów zacznij od tych, których panel jest dostępny z internetu.

Aktualizacja RouterOS do wersji 7.24 lub nowszej

1. Sprawdź wersję. Polecenie /system resource print pokazuje ją w polu version. Numer widać też na górnym pasku WinBoxa i WebFiga.
2. Zrób kopię konfiguracji. Wpisz /system backup save name=przed-aktualizacja i /export file=konfiguracja-tekstowa, a potem pobierz oba pliki z menu Files na swój komputer. Kopia zostawiona tylko na routerze niewiele pomoże, gdy router padnie.
3. Wgraj najnowsze wydanie stabilne. Wpisz /system package update set channel=stable, potem /system package update check-for-updates i /system package update install. Router sam się zrestartuje. Na 8 października najnowsza wersja stabilna to 7.24.5 z 29 września. Spełnia warunek producenta i zawiera pełne poprawki wrześniowe.

Aktualizacja MikroTik potrafi mieć skutki uboczne. Wydanie 7.24.3 kasowało oprogramowanie modemu LTE w kilku modelach, co producent naprawił w 7.24.4 i opisał w changelogu razem z instrukcją przywrócenia. Przy routerach u klientów lepiej więc robić to w oknie serwisowym, z kopią z kroku 2 pod ręką.

Jak zamknąć panel WebFig od strony internetu

1. Odetnij panel WWW od internetu. Jeśli z panelu w przeglądarce nie korzystasz, wyłącz go: /ip service set www disabled=yes oraz /ip service set www-ssl disabled=yes. Jeśli go potrzebujesz, dodaj w zaporze regułę odrzucającą ruch na porty panelu od strony internetu, na przykład /ip firewall filter add chain=input in-interface-list=WAN protocol=tcp dst-port=80,443 action=drop place-before=0. Jeśli panel działa na innych portach, wpisz w regule właśnie je. Nazwa listy WAN pochodzi z konfiguracji fabrycznej, więc w routerze ustawionym ręcznie może być inna.
2. Ogranicz zarządzanie do zaufanych adresów. Ustawienie dozwolonych adresów przy usłudze (od wersji 7.24 nazywa się available-from, wcześniej address) pomaga w sieci wewnętrznej. Dokumentacja MikroTika zaznacza jednak, że nie odrzuca ono pakietów na poziomie sieci. Od blokowania internetu jest zapora. Do zdalnego zarządzania lepszy jest VPN, na przykład WireGuard.

Oba kroki zaleca też sam MikroTik w komunikacie z 6 października. Radzi ograniczyć usługi www i www-ssl w menu IP → Services do zaufanych adresów albo je wyłączyć, jeśli routerem zarządzasz przez WinBox lub SSH. Najlepiej łączyć się z routerem przez VPN, na przykład WireGuard, i nie otwierać żadnych portów zarządzania. Tę samą zasadę FBI powtarza przy kampanii przejmowania zapór FortiGate. Router, do którego panelu nie da się z internetu dojść, jest z tej strony poza zasięgiem napastnika. Przy niezałatanym RouterOS zostaje jednak ryzyko od strony sieci wewnętrznej, dlatego zamknięcie panelu nie zastępuje aktualizacji.

Aktualizacja z 3 października 2026: 2 października Ministerstwo Cyfryzacji opublikowało rekomendację Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa nr 2026/33/5 dla podmiotów krajowego systemu cyberbezpieczeństwa. Dotyczy ona sześciu luk z opisanego wyżej łańcucha MikroTrick, a luki CVE-2026-84411 nie wymienia. Jej zalecenia są jednak szersze niż zamknięcie samego panelu. Rekomendacja zaleca aktualizację co najmniej do wersji 7.24.2, 7.23.4, 6.49.21 albo 7.25 beta 3 i sprawdzenie, czy router nie został już przejęty, według instrukcji producenta.

6 października MikroTik uzupełnił, że poprawka jednej z tych luk (CVE-2026-67278, podrobione certyfikaty i klucze hosta SSH) w 7.24.2 i 7.23.4 była niepełna. Pełna jest w 7.24.3 (stable) i 7.23.6 (long-term), więc kto zaktualizował we wrześniu do 7.24.2 albo 7.23.4, powinien zaktualizować ponownie. Od adresów spoza zaufanych sieci zarządzających zaleca odciąć nie tylko WWW/WWW-SSL, ale też SSH, WinBox i serwer bandwidth-test. Jeśli router ma starszy system, a SSH albo WinBox odpowiadają z internetu, samo wyłączenie panelu WWW go nie chroni.

Jak sprawdzić, czy ktoś już był w routerze

Ani CISA, ani MikroTik nie opublikowały wskaźników włamania dla tej luki, więc nie ma jednego wpisu w logu, który by ją zdradzał. Zostaje ogólny przegląd. Warto go zrobić po aktualizacji, zwłaszcza na routerach, których panel był dostępny z internetu.

Przejrzyj listę kont w /user print i usuń te, których nie zakładałeś. Sprawdź skrypty w /system script print i zadania harmonogramu w /system scheduler print. Zajrzyj do przekierowań portów w /ip firewall nat print, do wpisów DNS w /ip dns static print oraz do ustawień /ip proxy i /ip socks. Napastnicy lubią zostawiać w routerach pośredników ruchu, o czym pisaliśmy przy botnecie zbudowanym z cudzych routerów. Na koniec zmień hasła administratorów.

Pamiętaj, że czysta lista niczego nie przesądza. Kod uruchomiony jako root może się ukryć głębiej niż w konfiguracji. Jeśli coś cię zaniepokoiło albo panel był otwarty od dawna, najpewniejsze jest przeinstalowanie systemu narzędziem Netinstall i odtworzenie konfiguracji z tekstowego eksportu. Wcześniej przejrzyj ten eksport, żeby nie przenieść z powrotem tego, co zostawił napastnik.

Podsumowanie

Luka CVE-2026-84411 w RouterOS pozwala według CISA przejąć router MikroTik jednym żądaniem do panelu WWW, bez logowania. Agencja ocenia ją na 9,8 punktu i wskazuje jako podatne wersje poniżej 7.24. Ataków na razie nie zgłoszono. MikroTik potwierdził 6 października, że poprawka jest od wersji 7.24, a gałąź long-term 7.23.x i RouterOS 6 wciąż na nią czekają. Zrób kopię konfiguracji i zaktualizuj RouterOS do najnowszej wersji stabilnej, na 8 października 7.24.5. Wyłącz panel WWW albo zablokuj go w zaporze od strony internetu. Na routerach, których panel był otwarty na świat, przejrzyj konta, skrypty, harmonogram i przekierowania. Jeśli zarządzasz kilkudziesięcioma urządzeniami u klientów, zacznij od tych, które odpowiadają na zapytania z zewnątrz.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.