ช่องโหว่ระดับวิกฤตในการข้ามการยืนยันตัวตนผ่าน SSH ของ MikroTik กำลังถูกโจมตีอย่างหนัก

การโจมตีเชิงรุกและกลไกการคงอยู่ของภัยคุกคาม

ช่องโหว่ระดับวิกฤตที่ส่งผลกระทบต่ออุปกรณ์เครือข่ายของ MikroTik กำลังถูกกลุ่มผู้ไม่หวังดีใช้โจมตีในวงกว้าง ข้อผิดพลาดนี้เปิดช่องให้ผู้โจมตีที่ไม่ได้ผ่านการยืนยันตัวตนสามารถข้ามกลไกการตรวจสอบสิทธิ์ SSH มาตรฐาน และเข้าควบคุม Router และ Switch ที่ได้รับผลกระทบ รายงานด้านความปลอดภัยระบุว่ากลุ่มผู้โจมตีประสบความสำเร็จในการเจาะระบบอุปกรณ์ที่เชื่อมต่อกับอินเทอร์เน็ตทั่วโลก

ที่สำคัญคือ มีการตรวจพบว่าผู้โจมตีใช้ช่องโหว่ในการข้ามการยืนยันตัวตนขั้นแรกนี้เพื่อสร้างบัญชีผู้ดูแลระบบปลอมภายใน Router ที่ถูกเจาะระบบ แม้ว่าจะมีการติดตั้งแพตช์ Firmware อย่างเป็นทางการจากผู้ผลิตแล้ว แต่ข้อมูลรับรอง (Credentials) ที่เป็นช่องโหว่เหล่านี้ยังคงเปิดทางให้ผู้โจมตีสามารถเข้าถึงในฐานะผู้ดูแลระบบได้ต่อไป เพื่อดักจับข้อมูลการจราจรเครือข่าย สร้างอุโมงค์เพื่อเคลื่อนที่ในแนวราบ (Lateral Movement) หรือผนวกอุปกรณ์เข้ากับเครือข่าย botnets ที่เป็นอันตราย

คำแนะนำในการตอบสนองต่อเหตุการณ์จาก FORTSECURE

• ตรวจสอบการถูกบุกรุกและตรวจสอบผู้ใช้งาน: ผู้ดูแลระบบเครือข่ายต้องรีบตรวจสอบฐานข้อมูลผู้ใช้งานของอุปกรณ์ทันที (/user print) เพื่อหาบัญชีที่ไม่ได้รับอนุญาตหรือการกำหนดสิทธิ์ที่ผิดปกติซึ่งถูกสร้างขึ้นก่อนการแก้ไข
• อัปเดต Firmware และหมุนเวียนข้อมูลรับรอง: ดำเนินการติดตั้งแพตช์ความปลอดภัยล่าสุดจากผู้ผลิตโดยไม่ชักช้า หลังจากแพตช์แล้ว ให้ยกเลิกข้อมูลรับรองของผู้ดูแลระบบที่มีอยู่ทั้งหมด ทำการหมุนเวียน (Rotate) SSH keys และสร้างใบรับรองทางคริปโตกราฟีใหม่
• เสริมความแข็งแกร่งให้กับอินเทอร์เฟซการจัดการ: แยกการเข้าถึงสำหรับการจัดการเครือข่าย ปิดการใช้งานพอร์ต SSH, Winbox และการจัดการผ่านเว็บที่เชื่อมต่อกับสาธารณะ โดยอนุญาตการเข้าถึงเฉพาะจากเครือข่ายย่อยที่เป็น Bastion ที่เชื่อถือได้ หรือ IP allowlists ที่กำหนดไว้อย่างชัดเจนเท่านั้น

---

แหล่งที่มา: SANS Internet Storm Center เผยแพร่ครั้งแรก: Sun, 06 Sep 2026 21:43:17 GMT บทความต้นฉบับ: อ่านต้นฉบับ