CVE Mikrotik ล่าสุด: รับมือช่องโหว่ CVE-2026-67276 และ CVE-2026-86060

ในฐานะผู้ดูแลระบบเครือข่ายระดับองค์กรและวิศวกรโครงสร้างพื้นฐาน หากองค์กรของคุณมีการใช้งานเราเตอร์ MikroTik ไม่ว่าจะเป็นในระดับสาขา (Branch Office), เสาสัญญาณเครือข่ายไร้สาย (Wireless Tower), จุดเชื่อมต่อของผู้ให้บริการอินเทอร์เน็ต (ISP) หรือระบบ VPN สำนักงาน (Home Office) ข้อมูลนี้คือสิ่งที่คุณต้องให้ความสำคัญสูงสุดและดำเนินการตรวจสอบทันที ฮาร์ดแวร์ MikroTik และระบบปฏิบัติการ RouterOS เป็นที่นิยมอย่างแพร่หลายในแวดวงผู้ดูแลระบบเครือข่าย เนื่องจากมีความคุ้มค่าด้านต้นทุน (Cost-Effective) และมีฟีเจอร์การทำงานระดับ Enterprise ที่ทรงพลัง ทำให้พบได้ทั่วไปตั้งแต่เครือข่ายธุรกิจขนาดเล็กไปจนถึงโครงสร้างพื้นฐานระดับ Telco/ISP ทว่าความนิยมดังกล่าวกลับดึงดูดกลุ่มผู้ไม่หวังดีและอาชญากรไซเบอร์ โดยล่าสุดหน่วยงานด้านความมั่นคงปลอดภัยไซเบอร์ได้เปิดเผยชุดคำสั่งโจมตี (Attack Chain) ที่มีความซับซ้อนสูง และกำลังถูกนำมาแสวงประโยชน์จริง (Active Exploitation) กับอุปกรณ์ที่เชื่อมต่อสู่นอกเครือข่าย (Internet-facing) ชุดช่องโหว่ความปลอดภัยที่มีความรุนแรงระดับวิกฤตินี้มีชื่อเรียกว่า "MikroTrick" ซึ่งประกอบด้วยจุดอ่อนสำคัญ 2 จุดที่ทำงานประสานกันอย่างแนบเนียน และได้รับการกำหนดรหัสช่องโหว่ (CVE) เป็น CVE-2026-67276 และ CVE-2026-86060 เมื่อช่องโหว่ทั้งสองนี้ถูกนำมาทำงานร่วมกันแบบร้อยเรียง (Chaining) จะเปิดทางให้ผู้ไม่หวังดีสามารถเข้ายึดสิทธิ์การบริหารจัดการระบบขั้นสูงสุด (Full Administrative Control) บนเราเตอร์ MikroTik ได้อย่างสมบูรณ์แบบ โดยไม่ต้องใช้ชื่อผู้ใช้ (Username) หรือรหัสผ่าน (Password) ใดๆ ทั้งสิ้น ขอเพียงแค่บริการ SSH (Secure Shell) ของเราเตอร์เปิดใช้งานและสามารถเข้าถึงได้จากภายนอกอินเทอร์เน็ต ทั้งนี้ ทาง CERT Polska (หน่วยงาน CSIRT แห่งชาติของประเทศโปแลนด์) ได้ออกมายืนยันอย่างเป็นทางการว่า การโจมตีลักษณะนี้กำลังเกิดขึ้นจริงในวงกว้าง (In-the-wild Exploitation)

ที่มาของการค้นพบและบริบทเชิงลึก

CERT Polska ได้ตรวจพบช่องโหว่รวมทั้งสิ้น 6 จุดในระบบปฏิบัติการ RouterOS ซึ่งเป็นผลมาจากโครงการวิจัยและตรวจสอบความปลอดภัยเชิงรุก (Proactive Security Assessment) ร่วมกับบริษัท MikroTik โดยช่องโหว่ 2 จุดในจำนวนดังกล่าวสามารถนำมาร้อยเรียงเพื่อข้ามผ่านกระบวนการตรวจสอบสิทธิ์ (Authentication Bypass) ได้ตามที่กล่าวข้างต้น จนกลายมาเป็นที่มาของชื่อชุดช่องโหว่ "MikroTrick" จุดที่น่าสนใจและสะท้อนถึงยุคสมัยใหม่ของการทำสงครามไซเบอร์คือ การค้นพบช่องโหว่นี้ได้รับการสนับสนุนด้านการวิเคราะห์เชิงลึกจากโมเดลปัญญาประดิษฐ์ (AI) ขั้นสูงอย่าง GPT-5.5-cyber และ GPT-5.6-sol ภายใต้ความร่วมมืออันแน่นหนาระหว่างภาครัฐและหน่วยงานด้านความมั่นคงปลอดภัยของ CERT Polska ในการเร่งตรวจสอบซอร์สโค้ดและค้นหาจุดอ่อน ก่อนที่กลุ่มภัยคุกคามจะค้นพบได้ก่อน ทาง MikroTik ได้ตอบสนองต่อภัยคุกคามอย่างรวดเร็วด้วยการออกแพตช์แก้ไขผ่านช่องทางการอัปเดตปกติ ตั้งแต่วันที่ 3 กันยายน 2026 ในเวอร์ชัน 7.25beta3, 7.24.2, 7.23.4 และ 6.49.21 โดยในระยะแรกทาง MikroTik และหน่วยงานที่เกี่ยวข้องมีความตั้งใจที่จะปกปิดรายละเอียดทางเทคนิคเชิงลึก (Security Through Obscurity ในระยะสั้น) เพื่อซื้อเวลาให้ผู้ดูแลระบบทั่วโลกได้มีโอกาสอัปเดตเฟิร์มแวร์ ก่อนที่กลุ่มผู้ประสงค์ร้ายจะทำการวิเคราะห์ย้อนกลับ (Reverse Engineering) ไฟล์ไบนารี แต่ความพยายามดังกล่าวสามารถซื้อเวลาได้เพียงไม่กี่วัน เนื่องจากนักวิจัยอิสระและผู้ใช้งานในฟอรัมเทคโนโลยีต่างประเทศสามารถแกะรอยกลไกการทำงานจากไฟล์แพตช์ได้อย่างรวดเร็ว ส่งผลให้ CERT Polska ตัดสินใจเผยแพร่ประกาศแจ้งเตือนภัย (Security Advisory) ฉบับเต็มในวันที่ 5 กันยายน 2026 ทันทีหลังจากตรวจพบหลักฐานการถูกโจมตีจริงบนโลกออนไลน์

เจาะลึกกลไกทางเทคนิคของ "MikroTrick"

ชุดช่องโหว่ MikroTrick ไม่ใช่ข้อบกพร่องแบบเดี่ยว แต่เป็นการโจมตีแบบผสมผสาน (Composite Vulnerability) ของจุดอ่อน 2 ประการในสถาปัตยกรรมการจัดการบริการ SSH ของ RouterOS ซึ่งส่งผลให้กลไกการยืนยันตัวตนทั้งหมดล่มสลายลงโดยสิ้นเชิง:

1. CVE-2026-67276 (คะแนนความรุนแรง CVSS 9.2) - การข้ามการตรวจสอบสิทธิ์ SSH (SSH Authentication Bypass):
   ตามมาตรฐานความปลอดภัยของ Secure Shell ทั่วไป ระบบปฏิบัติการ RouterOS จะต้องตรวจสอบความถูกต้องของ Public Key ของผู้ใช้งานอย่างเข้มงวดเมื่อมีการพยายามเข้าสู่ระบบ แต่ด้วยข้อผิดพลาดในการเขียนโค้ด ทำให้ระบบกลับทำการเปรียบเทียบเฉพาะส่วนที่เป็น Public Exponent เท่านั้น โดยละเลยการตรวจสอบความถูกต้องของโมดูลัส (Modulus) อย่างสมบูรณ์ ผู้โจมตีที่ล่วงรู้ Username ที่มีอยู่จริงในระบบ และสามารถเข้าถึงหรือคาดเดาค่าโมดูลัสดังกล่าวได้ จะสามารถสร้างคีย์ปลอมขึ้นมาเพื่อแชร์โมดูลัสเดียวกัน ตบตาและผ่านการตรวจสอบสิทธิ์ในฐานะผู้ใช้นั้นๆ ได้ทันทีโดยไม่ต้องมีไฟล์ Private Key จริงแต่อย่างใด
2. CVE-2026-86060 (คะแนนความรุนแรง CVSS 9.2) - การยกระดับสิทธิ์ผ่าน Username ที่กำหนดพิเศษ:
   ในการประมวลผลชื่อผู้ใช้ SSH ที่ส่งเข้ามา หากมีการระบุ Username ที่ขึ้นต้นด้วยอักขระพิเศษหรืออักขระที่ระบบปกติไม่อนุญาต (Disallowed Characters) ระบบจะเกิดข้อผิดพลาดในการจัดการหน่วยความจำและการตรวจสอบสิทธิ์ ผู้โจมตีสามารถประดิษฐ์รูปแบบของ Username (Malcrafted Username) ขึ้นมาเฉพาะ เพื่อบังคับให้เซสชันที่เชื่อมต่อเข้ามาได้รับการกำหนดสิทธิ์เป็นผู้ดูแลระบบสูงสุด (Full Administrator) ทันที โดยระบบจะข้ามขั้นตอนการตรวจสอบรหัสผ่านและสิทธิ์เดิมไปอย่างสิ้นเชิง โดยไม่สนใจว่ากำลังแอบอ้างหรือพยายามเข้าถึงบัญชีใดอยู่

เมื่อนำข้อบกพร่องทั้งสองมาร้อยเรียงเข้าด้วยกันเป็น Attack Chain ผู้โจมตีจึงสามารถเจาะทะลวงเข้าระบบได้โดยไม่ต้องมี Credentials ใดๆ ติดตัวมาเลย ไม่ต้องมีฐานที่มั่นเดิมภายในเครือข่าย ไม่ต้องทำ Phishing หลอกเอาข้อมูล และไม่ต้องขโมยรหัสผ่านแต่อย่างใด

บริบทการใช้งานจริงในองค์กรและผลกระทบที่ตามมา

ในสภาพแวดล้อมทางธุรกิจปัจจุบัน อุปกรณ์เราเตอร์มักถูกติดตั้งไว้ที่ขอบเขตของเครือข่าย (Network Edge) เพื่อทำหน้าที่เป็นเกราะป้องกันด่านแรก (Gateway) หากระบบนี้ถูกเจาะด้วยช่องโหว่ MikroTrick ผลกระทบที่จะเกิดขึ้นกับองค์กรมีความรุนแรงและครอบคลุมในหลายมิติ:

• การควบคุมโครงสร้างพื้นฐานทั้งหมด (Full Infrastructure Compromise): ผู้โจมตีสามารถเข้าถึงคำสั่งราก (Root/Admin Shell) และแก้ไขการตั้งค่าทุกส่วน เช่น การสร้างบัญชีแบคดอร์ (Backdoor User), การปิดใช้งาน Firewall Rules, หรือการเปลี่ยนเส้นทางทราฟฟิก (Traffic Hijacking)
• การทำ Network Pivoting: เมื่อยึดเราเตอร์ขอบเขตเครือข่ายได้ ผู้โจมตีจะใช้พื้นที่ดังกล่าวเป็นฐานที่มั่น (Pivot Point) ในการเจาะทะลวงเข้าสู่ระบบภายในองค์กร เช่น เซิร์ฟเวอร์ฐานข้อมูล, ระบบกล้องวงจรปิด (CCTV NVR), หรือระบบควบคุมอุตสาหกรรม (SCADA/ICS)
• การโจมตีแบบ Man-in-the-Middle (MitM) และ DNS Poisoning: ผู้โจมตีสามารถดักฟังข้อมูลการใช้งานอินเทอร์เน็ตของพนักงานในองค์กร หรือเปลี่ยนเส้นทาง DNS ไปยังเว็บไซต์ฟิชชิ่งเพื่อขโมยข้อมูลสำคัญ (Credentials Harvesting)
• การใช้เราเตอร์เป็น Botnet Node: อุปกรณ์ที่ติดมัลแวร์จะถูกผนวกรวมเข้ากับเครือข่ายบอตเน็ตขนาดใหญ่ เพื่อใช้ในการโจมตีแบบ Distributed Denial of Service (DDoS) ไปยังเป้าหมายภายนอก หรือใช้เป็นฐานในการขุดเงินดิจิทัล

ข้อควรระวังและแนวทางการบรรเทาผลกระทบเชิงปฏิบัติการ (Mitigation Steps)

สำหรับผู้ดูแลระบบเครือข่ายและวิศวกรโครงสร้างพื้นฐาน เพื่อเป็นการป้องกันความเสียหายขั้นเด็ดขาด ควรดำเนินการตามขั้นตอนและมาตรการความปลอดภัยเชิงรุกดังต่อไปนี้ทันที:

1. อัปเดตระบบปฏิบัติการ RouterOS ทันที (Emergency Patching):
   เร่งทำการอัปเดตเฟิร์มแวร์ RouterOS ไปยังเวอร์ชันที่ได้รับการแก้ไขช่องโหว่แล้วเป็นอย่างน้อย ได้แก่ v6.49.21 (สำหรับ Long-term branch), v7.23.4, v7.24.2 หรือ v7.25beta3 ขึ้นไป โดยแนะนำให้ดาวน์โหลดแพตช์โดยตรงจากเว็บไซต์อย่างเป็นทางการของ MikroTik เท่านั้น
2. ปิดกั้นการเข้าถึงบริการ SSH จากภายนอกอินเทอร์เน็ต (Service Hardening):
   หากไม่มีความจำเป็นต้องรีโมทเข้ามาจัดการเราเตอร์จากภายนอกผ่าน SSH ให้ทำการปิดบริการดังกล่าว หรือจำกัดสิทธิ์การเข้าถึงผ่าน IP Whitelist ในเมนู IP > Services เท่านั้น

   /ip service set ssh address=192.168.1.0/24,10.0.0.0/8

3. เปลี่ยนพอร์ตบริการค่าเริ่มต้น (Port Obfuscation):
   หลีกเลี่ยงการใช้พอร์ตมาตรฐาน (เช่น เปลี่ยนพอร์ต SSH จาก 22 ไปเป็นพอร์ตอื่นที่มีความสุ่มสูง) แม้จะไม่สามารถป้องกันผู้โจมตีที่สแกนพอร์ตทั้งหมดได้ แต่ช่วยลดปริมาณการโจมตีอัตโนมัติ (Automated Bot Scans) ลงได้มาก
4. จำกัดการเข้าถึงด้วย Firewall (Edge Filtering):
   กำหนดกฎไฟร์วอลล์ที่เข้มงวดที่อินเทอร์เฟซฝั่ง WAN เพื่อไม่อนุญาตให้มีการเชื่อมต่อเข้ามายังบริการจัดการ (Management Services: Winbox, SSH, Telnet, API, WWW) จากอินเทอร์เน็ตโดยตรง

   /ip firewall filter add chain=input in-interface-list=WAN protocol=tcp dst-port=22,8291 action=drop

5. ตรวจสอบความผิดปกติและร่องรอยการบุกรุก (IOC Inspection):
   ตรวจสอบไฟล์ Log ย้อนหลังเพื่อค้นหาความผิดปกติ เช่น มีการล็อกอินสำเร็จโดยไม่มีการใช้รหัสผ่าน, บัญชีผู้ใช้งานแปลกๆ ที่ไม่คุ้นเคยถูกสร้างขึ้น, หรือมีกระบวนการทำงานของสคริปต์ที่ไม่ได้รับอนุญาตใน System > Scripts และ Scheduler

การตระหนักรู้และการตอบสนองอย่างรวดเร็วต่อช่องโหว่ระดับวิกฤตินี้ เป็นสิ่งพิสูจน์ถึงความเป็นมืออาชีพของผู้ดูแลระบบเครือข่ายในการปกป้องโครงสร้างพื้นฐานขององค์กรให้รอดพ้นจากภัยคุกคามไซเบอร์สมัยใหม่ที่มีความซับซ้อนสูง