Błąd w usłudze testu przepustowości RouterOS pozwala bez logowania wywołać restart routera i wyciek pamięci. CISA uznaje lukę za wykorzystywaną. Zaktualizuj do 6.49.21, 7.23.4 lub 7.24.2.
Ten alert jest dla zarządu, CTO i CFO firm, które mają routery lub inne urządzenia MikroTik z systemem RouterOS. Werdykt: jeśli RouterOS jest starszy niż 6.49.21, 7.23.4 lub 7.24.2, zaktualizuj urządzenia dziś, bo ta luka pozwala obcej osobie bez hasła restartować router i odczytywać fragmenty jego pamięci, a CISA uznała ją za wykorzystywaną.
Amerykańska agencja CISA 10 września 2026 roku dopisała do katalogu KEV lukę CVE-2026-67277 w MikroTik RouterOS. Katalog KEV to lista podatności, o których CISA ma dowody wykorzystania w prawdziwych atakach. Lukę znalazł zespół CERT Polska w ramach badań, w których wykrył sześć błędów w RouterOS. MikroTik wydał poprawki 3 września 2026 roku.
Błąd dotyczy wbudowanej usługi testu przepustowości (bandwidth-test, btest). Usługa pozwalała połączeniu bez zalogowania wejść w stan dostępny tylko po uwierzytelnieniu. Według CERT Polska skutkiem jest wyciek fragmentów pamięci jądra systemu albo zawieszenie i restart urządzenia. W tym samym wydaniu MikroTik załatał też dwie luki w SSH, których połączenie (nazwane przez CERT Polska MikroTrick) jest wykorzystywane do przejmowania routerów.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-67277 |
Data dodania do CISA KEV | 2026-09-10 |
Termin naprawy wg CISA | 2026-09-13 |
Produkt | MikroTik RouterOS, usługa bandwidth-test (btest) |
Wersje zagrożone | Od 6.0 przed 6.49.21, od 7.0 przed 7.23.4, od 7.24 przed 7.24.2 (NVD, CERT Polska). Zagrożone są urządzenia, na których serwer bandwidth-test jest osiągalny dla napastnika |
Wersje bezpieczne | 6.49.21 (long-term), 7.23.4 (long-term), 7.24.2 (stable), 7.25 beta 3 (wg MikroTik) |
Typ podatności | Brak uwierzytelnienia dla krytycznej funkcji, prowadzący do wycieku pamięci jądra i odmowy usługi; CWE-306 |
Ocena CVSS | CERT Polska: 8.8 WYSOKA (CVSS 4.0). NVD: 8.2 WYSOKA (CVSS 3.1). Atak przez sieć, bez uprawnień; główny skutek to niedostępność urządzenia |
Wyobraź sobie firmowy parking z bramką, przy której kierowca musi najpierw pokazać kartę, a dopiero potem może podjechać do myjni na terenie parkingu. Okazuje się, że jeśli ktoś podjedzie od razu do myjni, powołując się na „kolegę, który właśnie pokazuje kartę”, obsługa wpuszcza go bez sprawdzenia. Myjnia uruchomiona w dziwny sposób zalewa cały parking, a przy okazji wyrzuca na zewnątrz resztki cudzych rzeczy z poprzednich aut.
Tak działa ta luka. Router MikroTik ma wbudowane narzędzie do mierzenia prędkości łącza. Przez błąd obca osoba mogła je uruchomić bez logowania. Odpowiednio ustawiony test powodował, że router wysyłał fragmenty swojej pamięci albo przeciążał się i restartował, zrywając połączenie całej firmy z internetem.
💡 RouterOS to system operacyjny routerów i przełączników MikroTik. Bandwidth-test (btest) to wbudowana usługa do mierzenia przepustowości łącza między urządzeniami. Pamięć jądra to obszar pamięci najważniejszej części systemu, w którym mogą znajdować się fragmenty przesyłanych danych. Odmowa usługi (DoS) to atak, który unieruchamia urządzenie.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba łączy się z usługą testu przepustowości | Musi się zalogować | Uruchamia test bez hasła |
Pamięć routera | Niedostępna z zewnątrz | Fragmenty mogą wyciec do napastnika |
Dostęp firmy do internetu | Stabilny | Router może się zawiesić i zrestartować |
Urządzenie z oznaką włamania po aktualizacji | Brak ostrzeżeń | RouterOS oznacza je statusem Flagged w logu |
Router z otwartym SSH | Ryzyko ograniczone | Równolegle zagrożony łańcuchem MikroTrick |
źródło: Pexels, Jakub ZerdzickiPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie wymaga konta, ale wymaga dostępu sieciowego do usługi testu przepustowości na routerze. Źródła nie opisują publicznie konkretnych ataków z jej użyciem, a CERT Polska potwierdził ataki na tę samą grupę urządzeń łańcuchem luk w SSH.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie w internecie routerów MikroTik z osiągalną usługą testu przepustowości | Lista celów |
2. Wykorzystanie | T+minuty | Uruchomienie testu bez logowania w sposób wywołujący błąd | Wyciek fragmentów pamięci lub restart |
3. Zbieranie danych | T+godziny | Powtarzanie testów i analiza wyciekłych fragmentów | Informacje przydatne do dalszego ataku |
4. Zakłócanie pracy | T+dowolny moment | Wielokrotne wywoływanie restartów | Przerwy w dostępie do internetu i VPN |
5. Dalszy atak | T+dni | Łączenie z innymi lukami RouterOS, np. w SSH | Możliwe przejęcie routera |
Router brzegowy to brama całej firmy do internetu, VPN i usług w chmurze. Ta luka sama w sobie nie daje przejęcia urządzenia, ale pozwala je unieruchomić bez hasła, a CISA uznała ją za wykorzystywaną i możliwą do automatyzacji. Co ważniejsze, te same wersje RouterOS są podatne na łańcuch MikroTrick, którym przestępcy przejmują routery od co najmniej 2 września 2026 roku, więc jedna aktualizacja usuwa oba problemy.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przerwy w dostępie do internetu, VPN i systemów w chmurze | Minuty | 10 tys. do 150 tys. PLN (przestoje, interwencje serwisowe) |
Bezpieczeństwo danych | Wyciek fragmentów pamięci routera | Godziny | 10 tys. do 80 tys. PLN (analiza, zmiana haseł i kluczy) |
Finansowy | Utracona sprzedaż w czasie przerw, pilne prace poza godzinami | Dni | 20 tys. do 200 tys. PLN łącznie |
Reputacyjny | Niedostępność usług dla klientów | Dni do tygodni | 10 tys. do 100 tys. PLN (reklamacje, utraceni klienci) |
Prawny | Ocena, czy doszło do naruszenia danych osobowych; przy naruszeniu zgłoszenie do UODO w ciągu 72 godzin i możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 60 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla routerów MikroTik RouterOS
bez poprawki z września 2026, z osiągalną usługą btest
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . . ■ . ← WYSOKIE
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie, bo atak nie wymaga hasła, CISA uznaje go za wykorzystywany i możliwy do automatyzacji; wpływ jest średni, bo skutkiem jest głównie przerwa w działaniu i częściowy wyciek pamięci, a nie przejęcie urządzenia (CISA SSVC: wpływ częściowy).
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie urządzenia MikroTik (także w oddziałach i u dostawcy internetu) i ich wersje RouterOS | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Zaktualizować RouterOS do 6.49.21, 7.23.4 lub 7.24.2 | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Do czasu aktualizacji zablokować dostęp spoza zaufanych sieci do serwera bandwidth-test, SSH i WWW | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Po aktualizacji sprawdzić w logu, czy urządzenie ma status Flagged | Do 1 dnia | Administrator sieci |
5 | 🟠 PILNIE | Przejrzeć konfigurację pod kątem nieznanych użytkowników (np. ops), skryptów, zadań harmonogramu, serwerów proxy i tuneli | Do 3 dni | Administrator sieci |
6 | 🟠 PILNIE | Urządzenia z oznakami włamania odizolować, zabezpieczyć logi, przywrócić ustawienia fabryczne i zmienić hasła | Do 3 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Wyłączyć serwer bandwidth-test tam, gdzie nie jest potrzebny, a dostęp do zarządzania prowadzić tylko przez VPN | Do 7 dni | Administrator sieci |
MikroTik wydał poprawki dla wszystkich kanałów wydań 3 września 2026 roku. CERT Polska wskazuje środki tymczasowe, zaznaczając, że nie zastępują aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie serwera bandwidth-test lub blokada dostępu spoza zaufanych sieci (CERT Polska) | Wysoka dla tej luki | Łatwa |
Blokada SSH i WWW/WWW-SSL spoza zaufanych sieci zarządzania (CERT Polska, MikroTik) | Wysoka wobec łańcucha MikroTrick | Łatwa |
Zarządzanie routerem wyłącznie przez VPN, np. WireGuard (zalecenie MikroTik) | Wysoka | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja RouterOS | Starsza niż 6.49.21, 7.23.4 lub 7.24.2 | Wersja z poprawką |
Usługa testu przepustowości | Dostępna bez logowania | Wymaga uwierzytelnienia lub wyłączona |
Porty zarządzania | Otwarte do internetu | Dostępne tylko przez VPN lub z zaufanych adresów |
Wiedza o włamaniu | Brak | Log i status Flagged sprawdzone |
Konfiguracja | Niezweryfikowana | Przejrzana, nieznane wpisy usunięte |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); CISA SSVC: wykorzystanie aktywne, atak możliwy do automatyzacji, wpływ częściowy |
Grupy przestępcze | Brak publicznych informacji. CERT Polska podaje, że udane ataki łańcuchem MikroTrick pochodzą z jednego adresu IP od co najmniej 2 września 2026 |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | CERT Polska 8.8 WYSOKA (CVSS 4.0); NVD 8.2 WYSOKA (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji o PoC dla tej luki; publiczna analiza poprawki z 4 września (Nick Pratley) dotyczy luk w SSH i podpisach RSA |
Liczba atakowanych firm | Brak publicznych informacji |
Rozbieżności w źródłach | CISA uznała CVE-2026-67277 za wykorzystywaną, a CERT Polska w opisie potwierdzonych ataków wskazuje łańcuch dwóch luk w SSH, bez wzmianki o btest |
Nietypowe działania producenta | Wg CERT Polska MikroTik po raz pierwszy wysłał powiadomienie push do użytkowników aplikacji mobilnej |
Sygnały zagrożenia dla CVE-2026-67277
CVSS 4.0 (CERT Polska) 8.8/10 ██████████████████░░ WYSOKA
CVSS 3.1 (NVD) 8.2/10 ████████████████░░░░ WYSOKA
Uwierzytelnienie brak ████████████████████ dostęp sieciowy wystarczy
Wpływ (SSVC) częściowy ██████████░░░░░░░░░░ wyciek i restart
CISA KEV TAK ████████████████████ uznana za wykorzystywaną 2026-09-02 Początek udanych ataków łańcuchem MikroTrick (wg CERT Polska)
2026-09-03 MikroTik wydaje 7.24.2, 7.23.4, 6.49.21 i publikuje biuletyn
2026-09-04 Publiczna analiza różnic w poprawce (Nick Pratley)
2026-09-05 CERT Polska publikuje opis luk, publikacja CVE-2026-67277
2026-09-08 CISA w ocenie SSVC oznacza wykorzystanie jako aktywne
2026-09-10 CISA dodaje lukę do katalogu KEV
2026-09-11 NVD kończy analizę i nadaje ocenę 8.2
2026-09-13 Termin naprawy wg CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta: MikroTik, September 2026 vulnerability . Zalecenia i wskaźniki włamania: CERT Polska, Critical vulnerabilities in MikroTik RouterOS are being actively exploited . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-67277 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać listę urządzeń MikroTik w firmie i oddziałach wraz z wersjami | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową aktualizację, także poza godzinami pracy | CTO | DZISIAJ |
3 | Potwierdzić, że porty zarządzania i test przepustowości nie są otwarte do internetu | CTO | DZISIAJ |
4 | Ustalić z dostawcą internetu, kto aktualizuje routery przez niego zarządzane | CFO | DO JUTRA |
5 | Zarezerwować czas i budżet na ewentualną rekonfigurację urządzeń z oznakami włamania | CFO | DO JUTRA |
6 | Sprawdzić, czy umowa serwisowa sieci obejmuje reakcję na krytyczne luki | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile urządzeń MikroTik mamy i w jakich wersjach RouterOS? | [liczba], [wersja] | 🔴 |
2 | Czy wszystkie mają wersję 6.49.21, 7.23.4, 7.24.2 lub nowszą? | TAK / NIE | 🔴 |
3 | Czy serwer bandwidth-test jest osiągalny z internetu? | TAK / NIE | 🔴 |
4 | Czy SSH lub WWW routera jest otwarte do internetu? | TAK / NIE | 🔴 |
5 | Czy któreś urządzenie ma w logu status Flagged? | TAK / NIE | 🟠 |
6 | Czy w konfiguracji są nieznani użytkownicy, skrypty lub tunele? | TAK / NIE | 🟠 |
7 | Kiedy ostatnio aktualizowano RouterOS przed wrześniem 2026? | [data] | 🟡 |
CVE-2026-67277 pozwala bez hasła unieruchomić router MikroTik i wyciągnąć fragmenty jego pamięci, a te same wersje RouterOS są celem potwierdzonych ataków przejmujących urządzenia przez SSH. Jedna aktualizacja do 6.49.21, 7.23.4 lub 7.24.2 usuwa oba zagrożenia, dlatego aktualizacja, zamknięcie usług zarządzania przed internetem i sprawdzenie statusu Flagged to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.