MikroTik RouterOS 的 CVE-2026-67279 已遭實際利用，攻擊者不需要帳號或登入，就能從網路遠端發動攻擊，也不需要受害者操作。現在應依目前分支，把 RouterOS 更新到 6.49.21（長期版）、7.23.4（長期版）或 7.24.2（穩定版），並把路由器後方的 NAS 一起納入資產盤點。漏洞編號與評分可查NVD 的 CVE-2026-67279 紀錄；版本盤點也可參考軟體版本與漏洞修補流程。

機房中的路由器、交換器與網路設備
路由器管理者應先確認 RouterOS 分支與版本（示意圖）

這個漏洞影響誰

CVE-2026-67279 是 RouterOS SSH 工作流程的漏洞。官方描述指出，未完成身分驗證的連線可能進入不應進入的協定流程，讓未經驗證者建立工作階段並送出執行請求，進而影響 RouterOS 管理的檔案命名空間。本文不展開攻擊流程，讀者先掌握三個判斷點：可遠端利用、免帳號登入、免受害者操作。

家用路由器的指示燈與網路連接埠
路由器的管理服務曝露狀態會影響處理優先順序（示意圖）

這起漏洞已在 2026 年 9 月 25 日列入美國 CISA 已知遭利用漏洞目錄，資料列出的 CVSS 嚴重度為 6.5／10，屬中度；EPSS 被利用機率評分為 1.0%。目前已有勒索軟體攻擊活動利用此漏洞。對小型辦公室來說，直接連到網際網路的路由器、遠端管理介面，以及路由器後方承載檔案的 NAS，都應列入同一份盤點表。

伺服器機櫃中的網路與儲存設備
路由器後方的伺服器與 NAS 應一起納入資產盤點（示意圖）

RouterOS 要更新到哪個版本

MikroTik 官方公告列出的修補版本如下。低於門檻的版本，應更新到同一分支的修補版或更高版本。

目前分支受影響版本最低修補版本
6.x6.0 至 6.49.206.49.21，Long-term
7.0 至 7.23.x7.0.0 至 7.23.37.23.4，Long-term
7.24.x7.24.0 至 7.24.17.24.2，Stable
RouterOS 三條分支與最低修補版本對照
RouterOS 三條分支的最低修補版本，低於門檻就應安排更新（資料整理圖）

現在可以怎麼做

  1. 用 WinBox 或 WebFig 登入設備，開啟「System > Packages」的「Check for Updates」，記下目前版本與更新分支。
  2. 先備份設定，再依上表選擇同一分支的修補版本。更新會讓設備重新啟動，家用網路、遠端辦公與 NAS 服務要先安排中斷時間。
  3. 若暫時不能更新，先移除 SSH 對不受信任網路的曝露，管理服務限縮到可信任 IP，或放在 VPN 後方。CISA 的BOD 26-04 風險排序要求要求各單位依資產的網際網路曝露程度與漏洞利用狀態排序修補；無法套用緩解措施的雲端服務或產品，應依實施指引評估停止使用。
  4. 更新完成後查看 Log 是否出現 Flagged，再檢查未知使用者、腳本、排程與不熟悉的設定。發現異常時保留紀錄，並把路由器、NAS 與其他端點的登入紀錄交叉比對；管理服務的存取可再參考零信任架構的分層驗證。
網路設備與伺服器上的指示燈
更新後仍要檢查管理設定與異常項目（示意圖）

MikroTik 表示，家用設備的預設設定通常不在立即風險範圍，仍建議所有使用者升級。小型辦公室若曾把 SSH 或其他管理埠直接開到網際網路，應把這類設備排在前面；無法更新又無法有效降低曝露時，依 CISA 指引評估暫停使用。

常見問題

RouterOS 要更新到哪個版本才跨過修補門檻？
6.x 至少更新到 6.49.21，7.0 至 7.23.3 至少更新到 7.23.4，7.24.0 至 7.24.1 至少更新到 7.24.2。MikroTik 官方公告若提供同分支的更高版本，應選較新的可用版本。

家用 MikroTik 沒有開 SSH，還需要更新嗎？
仍建議更新。MikroTik 官方表示，一般家用預設設定通常不在立即風險範圍，但所有使用者都應升級到含修補的版本，更新後也要查看日誌與設定。

設備今天還不能更新，先做什麼？
先限制 SSH 與其他管理服務，不要讓它們曝露在不受信任的網路，遠端管理改用可信任 IP 或 VPN。若無法套用緩解措施，依 CISA BOD 26-04 實施指引評估暫停使用，並保存更新前的必要紀錄。