近期網路安全組織 CERT Polska 發布緊急警告，指出攻擊者正利用 MikroTik 路由器的漏洞進行大規模入侵。此次攻擊的核心在於利用暴露於公網的 SSH 遠端存取服務，讓攻擊者無需經過任何身分驗證，即可直接取得設備的最高管理權限。根據 The Hacker News 的報導，這類攻擊至少從 2026 年 9 月 2 日起便已在野外發生，對全球使用 RouterOS 系統的設備構成嚴重威脅。
背景與漏洞機制
此次被 CERT Polska 稱為 MikroTrick 的攻擊手法，並非單一漏洞造成，而是由兩個漏洞組成的攻擊鏈（Vulnerability Chain。攻擊鏈是指攻擊者將多個低風險或中風險的漏洞有計畫地組合在一起，最終達成高風險的攻擊目標，例如從一般的使用者權限提升至系統管理員權限。在 MikroTrick 的案例中，攻擊者利用了 SSH（Secure Shell，一種用於安全遠端登入伺服器的加密協定）服務的缺陷，繞過了原本應有的認證機制。
由於許多企業或個人將路由器的管理介面直接對外開放於網際網路，導致攻擊者可以透過掃描公網 IP，直接對目標設備發起請求。一旦成功利用該攻擊鏈，入侵者能完全控制路由器的配置，進而監控網路流量、攔截數據或將設備納入殭屍網路。
受影響版本與修補路徑
根據 CERT Polska 與 MikroTik 官方提供的資料，受影響的 RouterOS 版本範圍相當廣泛。對於使用 RouterOS 6 系列的用戶，版本低於 6.49.21 的設備均處於風險之中，應立即更新至 6.49.21。對於 RouterOS 7 系列，版本低於 7.23.4 或低於 7.24.2 的設備同樣受到影響，建議更新至 7.23.5（長期支持版本）或 7.24.2（穩定版本）。此外，開發者版本的 7.25beta3 也已包含相關修復。
值得注意的是，MikroTik 在 7.23.5 版本中修正了一個在 7.23.4 中引入的 IPv6 DHCP（動態主機配置協定，用於自動分配 IP 位址的網路協定）回歸錯誤，同時保留了安全性更新。這顯示了在快速修補漏洞的過程中，維護系統穩定性與安全性之間的平衡挑戰。
入侵跡象與偵測方法
對於無法立即更新的設備，管理員應密切監控系統日誌與配置。CERT Polska 指出，若在帳號創建日誌中發現包含 ssh:-2@ 的異常記錄，或發現系統中出現未經授權的高權限操作帳號，則極有可能已被入侵。
此外，RouterOS 具備一種標記狀態（Flagged status）機制。當系統在啟動檢查中偵測到可疑的配置變更時，會將設備標記為 Flagged，並自動禁用部分可疑條目以限制功能。管理員可以透過執行 /system/device-mode/print 指令來檢查設備目前的狀態。然而，即便沒有觸發標記警告，仍建議全面審查設定檔中是否存在未知的使用者或可疑腳本。
實務防禦建議與限制
在更新補丁之前，最有效的臨時對策是實施嚴格的存取控制。管理員應立即關閉所有暴露於公網的管理服務，特別是 SSH、WWW/WWW-SSL 以及 bandwidth-test（頻寬測試工具）。若必須遠端管理，應將存取權限限制在受信任的特定管理網路內。同時，在未修補的設備上，應避免發起 TLS（傳輸層安全協定，確保網路通訊加密的標準）連接或使用內建的 SSH 客戶端，以防止潛在的側向攻擊。
若確認設備已被入侵，CERT Polska 強烈建議不要在分析前清除 Flagged 標記，以免破壞證據。正確的復原流程應為：先將路由器從網路隔離，導出並保存所有日誌與配置檔進行分析，隨後將設備恢復出廠設定。在重建配置時，絕對不能盲目地還原來自受感染設備的完整備份，而應使用經過驗證的乾淨配置，並立即更改所有密碼、金鑰及機密資訊。
總結而言，此次 MikroTrick 攻擊再次提醒網路管理員，將管理介面直接暴露於公網是極高風險的行為。儘管 MikroTik 的家用設備預設防火牆會封鎖公網存取，但許多經過自定義配置的設備往往在追求便利時犧牲了安全性。面對複雜的漏洞鏈攻擊，及時更新韌體並遵循最小權限原則（Principle of Least Privilege）依然是最核心的防禦手段。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。