免帳密、遠端可達：RouterOS 這個漏洞列入 KEV 後，修補帳先記在曝露面那欄

2026 年 9 月 25 日，CISA 把 CVE-2026-67279 列入已知遭利用漏洞目錄（KEV）。這個 RouterOS SSH 連線流程的邏輯瑕疵，NVD 給的 CVSS 3.1 分數是 6.5，屬中度。分數本身不是重點，KEV 的列入才是：它代表已有人實際利用，修補優先順序必須重排。

漏洞的技術輪廓可以壓縮成三個條件：攻擊可從網路遠端發動、不需要帳號或登入、不需要受害者任何操作。依 NVD 的說明，未完成驗證的 SSH 連線可能被誤判為已進入工作階段，攻擊者藉此送出指令，建立、覆寫或重建 RouterOS 管理檔案，內容可能涵蓋設定與診斷資料。

FIRST 的 EPSS 模型在 9 月 29 日給出的 30 日利用機率約 1.0%。這個數字容易誤讀：EPSS 是全網估計值，對個別設備而言，真正決定風險的是管理介面是否直接暴露在網際網路。一臺掛在公網、SSH 開放的 RouterOS，和一臺只在內網、透過 VPN 管理的設備，承壓程度相差不止一個量級。

三條分支，三個門檻

MikroTik 官方公告列出的修補版本結構如下。RouterOS 的版本分支邏輯決定了更新路徑，無法一律跳到最新版：

分支	受影響版本	最低修補版本
6.x	6.0 至 6.49.20	6.49.21（Long-term）
7.0 至 7.23.x	7.0.0 至 7.23.3	7.23.4（Long-term）
7.24.x	7.24.0 至 7.24.1	7.24.2（Stable）

這張表的帳要從兩個方向算。第一，6.x 分支的受影響跨度長達六年以上，代表部分企業設備可能仍停在極舊版本，跨分支升級需要分段進行，中途的停機窗口與設定回滾成本都要先估算。第二，三條分支並存本身就是 MikroTik 用戶羣的維運負擔，這與微軟單月修掉 974 個漏洞所攤開的軟體維護固定成本是同類問題，只是規模更小、更分散。可以對照先前分析的微軟九月補丁日維護成本帳。

實際操作上，管理者用 WinBox 或 WebFig 登入後，在 System > Packages 的 Check for Updates 畫面確認目前版本與所在分支，先備份設定再執行 Download & Install。下載完成後設備會重新啟動，家用網路、遠端辦公與 NAS 服務的中斷時間需要事先安排。

影響推演：誰先付帳

受壓最重的是兩類用戶。一是把管理介面直接暴露在公網的中小企業與個人用戶，CISA 情資並列有勒索軟體攻擊活動利用此漏洞，KEV 紀錄的 knownRansomwareCampaignUse 欄位目前為 Unknown，未公布活動名稱，不能指認特定團體，但暴露設備本身就是勒索軟體的常見入口。二是路由器後方的 NAS 與自架伺服器用戶，邊界設備一旦被寫入惡意設定，後方資產的盤點與清查成本會遠高於一次性升級。

相對受惠不明顯但存在：提供資產盤點與修補排程工具的資安廠商，以及 VPN 服務。MikroTik 官方即建議只允許可信任 IP 管理，或改透過 WireGuard VPN 進入，這類管理面收斂的做法在每次路由器漏洞事件後滲透率都會提高一段。

暫時無法更新的設備，先移除 SSH 對不受信任網路的曝露、限制管理服務，並評估是否仍需上線。CISA 的 BOD 26-04 修補排序原則是依資產是否公開曝露、是否列入 KEV、利用是否可自動化與技術影響綜合排定，聯邦機構以外的組織雖不受強制約束，但同樣的排序邏輯適用於任何資產組合。這與先前分析的legacy 系統資安成本結構是同一條傳導鏈：修補成本前置，可以換掉事後清場的更大支出。

更新後的中鏢判斷

升級完成後，Log 中若出現 Flagged 狀態，依 MikroTik 官方的 Flagged 說明處理。沒有出現也不代表乾淨，仍要檢查未知使用者、腳本、排程與不熟悉的設定項目，發現異常時保留紀錄再處置。

收束判斷：這次事件的關鍵數字不是 6.5 的 CVSS 分數，而是 9 月 25 日這個 KEV 日期。從列入之日起，未修補且管理介面暴露的 RouterOS 設備，風險狀態已從「理論上可能被攻擊」切換為「已被實際利用中的目標池」。版本盤點、曝露面收斂、後方資產清點，三件事的成本排序，應該倒過來從曝露面開始做。

標籤：網通設備產業, 資安修補成本分析, 全球市場