12万台路由器SSH暴露公网-MikroTik漏洞自查与修复-图文解读！|ssh|公网|密钥|端口|路由器

一条命令，不打密码、不带密钥、不用你去点任何东西，一台路由器就换了主人。这不是电影情节，是 2026 年 9 月真实发生在 MikroTik 设备上的事——波兰 CERT Polska 披露的漏洞链，被媒体叫作 MikroTrick。

先把条件说清楚，免得吓到自己：它只咬一类设备——把 SSH（22 端口）暴露在公网上的 MikroTik 路由器。MikroTik 官方也强调，默认配置下 RouterOS 并不对公网开放 SSH，出问题的基本都是管理员自己把管理口开到了外网。所以真正该紧张的，是那些“图省事把 22 端口映射出去”的小公司、跨境电商和远程办公机器。

图 1 家用无线路由器。路由器是网络的边界，也是最容易被忘记升级的设备

两个洞串成一条链

这次不是一个漏洞，是两个凑在一起。第一个（CVE-2026-67279）出在 SSH 的状态机：客户端在登录认证还没做完时抢先请求“密钥重协商”，服务端处理完之后，错把会话状态推进到了命令执行阶段——本该先认证，却直接放了行。

第二个（CVE-2026-86060）是登录进程里的参数注入，危险等级 9.2 分。一个洞给你落脚点，另一个把权限直接抬到完整的路由器管理员。两者一串联，就成了一条从“无需密码”到“整机归别人”的完整链条。细节层面只说到这，公开资料也没有现成的一键利用工具，但技术路径已经被完整披露。

图 2　MikroTik 的网络设备。它的操作系统叫 RouterOS，是这次漏洞的舞台

先看版本，再看暴露面

判断会不会中招，两步就够。第一步看版本：RouterOS 属于下面任一区间的，都在受影响范围内——7.24.x 低于 7.24.2、7.x 低于 7.23.4、6.x（长期支持版）低于 6.49.21。修好之后，稳妥的版本是 7.24.2（Stable 稳定版）、7.23.4 和 6.49.21（均为 Long-term 长期版）。

第二步看暴露面：路由器上的 SSH（22 端口）、WebFig（WWW/WWW-SSL）和带宽测试服务，有没有被映射到公网。MikroTik 已在 9 月 3 日发布了修复版本；第三方扫描显示，截至 9 月 5 日全球仍有超过 12.25 万台 MikroTik 设备的 SSH 能从互联网直接访问，集中在巴西、美国、印尼等地。设备数量不等于入侵数量，但暴露在那儿，就一直在别人的扫描清单里。

图 3　MikroTik 的 WinBox 管理界面（示意）。版本信息、暴露端口都能在这里看到

修复三步：升级、撤暴露、查痕迹

第一步，升级。能上网的，直接在 WinBox 里 System → Packages → Check for Updates；不方便联网的，去 MikroTik 官网下对应的 .npk 包手动升级。图 4 是一般路由器固件升级页面的样子，思路一样：先备份配置，再上传固件，重启。

图 4　路由器固件升级界面（示意，图中为另一品牌）。升级前记得先备份配置

第二步，撤暴露。短期内升不了级的设备，先把 SSH、WWW/WWW-SSL 和 bandwidth-test 从公网撤下来，或者限制到可信的管理网段。这只是临时减伤，不算修复。同时注意：受影响的路由器别再拿它内置的 SSH 客户端去连别的机器，防止被当跳板。

第三步，查痕迹。升级后的新版 RouterOS 启动时会扫描配置里的已知篡改，把可疑设备标成 Flagged 并写一条 critical 日志；也可以直接翻日志，搜两条关键字——一条类似 login failure for user -2（后面跟来源 IP 加 via ssh），另一条形如 user <名字> added by ssh:-2@。再顺手核对一下用户列表里有没有陌生的高权限账号（攻击者常用的是 ops），以及 scripts、scheduler、proxy、tunnel 这些多年没动过的地方有没有多出东西。

确认被入侵，别急着清日志

如果真发现了痕迹，处置顺序比“赶紧删干净”重要得多：先把设备从网络里隔离出来，导出并留存日志和配置当证据，再恢复出厂、用可信的配置重建，最后把经由这台设备暴露过的密码、密钥、证书全部换一遍。

还有一个反直觉的提醒：不要直接把它之前那份完整备份还原回去。恶意账号、脚本和计划任务很可能就藏在备份里，一还原，等于把入侵者也请回来。