บทสรุปสำหรับผู้บริหาร (Executive Summary / BLUF)
ภาพรวมสถานการณ์
ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งประเทศโปแลนด์ (CERT Polska) ร่วมกับบริษัทผู้ผลิต MikroTik ได้เปิดเผยการค้นพบช่องโหว่ความปลอดภัยระดับวิกฤตรวม 6 รายการในระบบปฏิบัติการ RouterOS ได้แก่ CVE-2026-67276, CVE-2026-67277, CVE-2026-67278, CVE-2026-67279, CVE-2026-67281 และ CVE-2026-86060 โดยมีช่องโหว่สำคัญยิ่งยวด 2 รายการที่นำมาเชื่อมโยงกันเป็นห่วงโซ่การโจมตีภายใต้ชื่อ MikroTrick ได้แก่ CVE-2026-67276 (SSH Authentication Bypass, CVSS 9.2) และ CVE-2026-86060 (SSH Session Privilege Manipulation, CVSS 9.2) ซึ่งจะเปิดโอกาสให้ผู้โจมตีภายนอกที่ไม่มีสิทธิ์ใด ๆ สามารถเข้าควบคุมอุปกรณ์ RouterOS ได้โดยสมบูรณ์หากเปิดพอร์ต SSH (TCP 22) สู่เครือข่ายสาธารณะ [1][2]
สาเหตุรากฐานของ MikroTrick เกิดจากความบกพร่อง 2 จุดซ้อนกัน จุดแรกคือกระบวนการตรวจสอบกุญแจสาธารณะ RSA สำหรับการยืนยันตัวตน SSH ของ RouterOS ตรวจสอบเฉพาะ Modulus (n) แต่ละเลยการตรวจสอบ Public Exponent (e) ทำให้ผู้โจมตีสามารถปลอมแปลงกุญแจโดยใช้ค่า e=1 เพื่อข้ามกระบวนการยืนยันตัวตนได้โดยไม่ต้องมีกุญแจส่วนตัว (Private Key) [1][5] และ จุดที่สองคือกลไกการล็อกอิน SSH จัดการกับชื่อผู้ใช้ (Username) ที่ขึ้นต้นด้วยอักขระต้องห้ามอย่างไม่ถูกต้อง เช่น ชื่อผู้ใช้ -2 ส่งผลให้ Policy Mask ของเซสชันถูกเขียนทับกลายเป็นสิทธิ์ผู้ดูแลระบบระดับสูงสุด (Full Administrative Privilege) [2][6]
CERT Polska และ MikroTik ยืนยันว่าพบการโจมตีจริงในโลกจริง (In-The-Wild Exploitation) ตั้งแต่วันที่ 2 กันยายน 2569 โดยการโจมตีที่สำเร็จ ซึ่งรวมถึงการสร้างบัญชีชื่อ ops มีต้นทางจากไอพี 82.192.72[.]4 นอกจากนี้ยังพบไอพี 103.102.31[.]18 ถูกใช้พยายามโจมตีช่องโหว่ดังกล่าวด้วย [1] ทั้งนี้การค้นพบช่องโหว่ชุดนี้เกิดจากทีมนักวิจัยของ CERT Polska ภายใต้การเข้าถึงโครงการ OpenAI Government and Trust Agency Collaboration (GTAC) โดยใช้โมเดล GPT-5.5-cyber และ GPT-5.6-sol ร่วมกับสภาพแวดล้อมวิจัยแบบ Agentic เพื่อสร้างและคืนสภาพห้องทดลองอัตโนมัติ เปรียบเทียบเวอร์ชัน วิเคราะห์ RFC และไบนารี อย่างไรก็ตาม CERT Polska ระบุชัดเจนว่าทุกสมมติฐานต้องผ่านการยืนยันบนระบบ RouterOS จริง และการประเมินผลกระทบโดยนักวิจัยมนุษย์เสมอ โมเดล AI เร่งกระบวนการวิเคราะห์แต่ไม่ได้ทดแทนขั้นตอนเหล่านี้ [1][10]
จากการประเมินพื้นผิวการโจมตี (Attack Surface) ผ่านระบบ OSINT โดย บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด ณ วันที่ 6 กันยายน 2569 ตรวจพบอุปกรณ์ MikroTik RouterOS จำนวน 210 ระบบในประเทศไทยที่มีการเปิดเผยพอร์ตบริการ SSH สู่เครือข่ายอินเทอร์เน็ตสาธารณะ อุปกรณ์เหล่านี้กระจายตัวอยู่ตามโครงข่ายผู้ให้บริการอินเทอร์เน็ต (ISPs), องค์กรภาคธุรกิจ, สถาบันการศึกษา และหน่วยงานภาครัฐ ซึ่งถือเป็นกลุ่มเป้าหมายที่มีความเสี่ยงขั้นวิกฤต อุปกรณ์ที่เปิดเผยพอร์ตดังกล่าวมีความเสี่ยงสูงต่อการถูกโจมตีเพื่อยึดครองสิทธิ์ ซึ่งจะนำไปสู่ผลกระทบต่อเนื่อง เช่น การดักรับข้อมูล (Traffic Interception), การใช้เป็นจุดยุทธศาสตร์เพื่อขยายวงการโจมตีเข้าสู่เครือข่ายภายในองค์กร (Lateral Movement) และการถูกดัดแปลงเป็นส่วนหนึ่งของเครือข่ายบ็อตเน็ต [9]
การดำเนินการที่จำเป็นโดยด่วน (Immediate Actions)
- ดำเนินการอัปเดตเฟิร์มแวร์ MikroTik RouterOS ทันทีเป็นเวอร์ชันที่ได้รับการแก้ไขแล้ว: 7.24.2 (Stable), 7.23.4 (Long-term), 6.49.21 (Legacy Long-term) หรือ 7.25beta3 (Development) [1][3]
- ตรวจสอบสถานะการถูกบุกรุกผ่านคำสั่ง /system/device-mode/print หากพบสถานะ flagged: yes แสดงว่าอุปกรณ์เคยถูกดักโจมตีหรือแก้ไขการตั้งค่าโดยมิชอบ (หมายเหตุ: การไม่พบสถานะนี้ไม่ได้ยืนยันว่าอุปกรณ์ปลอดภัย 100%) [3][4]
- ตรวจสอบรายชื่อผู้ใช้งานในระบบผ่านคำสั่ง /user print หากพบบัญชีแปลกปลอม เช่น ops หรือบัญชีที่ตนเองไม่ได้สร้าง ให้สันนิษฐานว่าระบบถูกยึดครองแล้ว [1]
- ตรวจสอบประวัติบันทึกระบบ (Log) เพื่อค้นหาข้อความ login failure for user -2 และ added by ssh:-2@ [1][2]
- ตรวจสอบไฟล์และสคริปต์ที่ถูกสร้าง/แก้ไขโดยไม่ได้รับอนุญาตผ่านช่องโหว่ CVE-2026-67279 (Unauthenticated SSH Rekey File Write) แม้ไม่ได้เปิดใช้งาน Public Key Authentication ก็ตาม [2]
- ปิดการเข้าถึงพอร์ตบริการจัดการจากภายนอก (SSH, WebFig, Bandwidth-Test, Winbox) โดยกำหนด Firewall Filter Rules ให้อนุญาตเฉพาะ IP Management ที่เชื่อถือได้เท่านั้น [3][7]
- ในกรณีที่พบอุปกรณ์ติดสถานะ Flagged หรือพบบัญชีแปลกปลอม ให้ทำการกักกันเครือข่าย สำรองข้อมูล Log เพื่อตรวจพิสูจน์พยานหลักฐาน (Forensics) และติดตั้งระบบใหม่ด้วย Netinstall (ห้าม Restore ไฟล์ Backup เดิมโดยไม่ตรวจสอบ) [1][4]
ภาพรวมภัยคุกคาม (Threat Overview - 5W1H Matrix)
| มิติ (Dimension) | รายละเอียด (Details) |
|---|---|
| ผู้โจมตี (WHO) | กลุ่มผู้โจมตีไม่ทราบฝ่าย (Unattributed Threat Actor) ที่มีความสามารถระดับสูง คาดว่าเป็นกลุ่ม Botnet Operators หรือ Initial Access Brokers ที่มุ่งเป้าอุปกรณ์เครือข่ายขอบ (Edge Network Routers) โดยตรวจพบการโจมตีสำเร็จจาก IP 82.192.72[.]4 และความพยายามโจมตีจาก 103.102.31[.]18 [1] |
| เป้าหมาย (WHAT) | การโจมตีช่องโหว่ MikroTrick (CVE-2026-67276 + CVE-2026-86060) เพื่อข้ามการยืนยันตัวตน SSH และยกระดับสิทธิ์เป็น Admin สูงสุด นำไปสู่การสร้างบัญชีควบคุม ops และการเข้าควบคุมอุปกรณ์จากระยะไกลโดยสมบูรณ์ (Full Device Takeover) โดยยังมีช่องโหว่เสริมอีก 4 รายการ (CVE-2026-67277/67278/67279/67281) ขยายผลกระทบครอบคลุมการรั่วไหลของหน่วยความจำ, การปลอมตัวเป็นเซิร์ฟเวอร์ TLS, การเขียนไฟล์โดยไม่ต้องยืนยันตัวตน และการอ่านไฟล์ผ่าน WebFig [1][2] |
| ขอบเขต (WHERE) | อุปกรณ์ MikroTik RouterOS ทั่วโลกที่เปิดพอร์ต SSH (TCP 22 หรืออื่นๆ อาทิ 2222ม 8822 เป็นต้น), WebFig (TCP 80/443) หรือ Bandwidth-Test (TCP/UDP 2000) สู่สาธารณะ ในประเทศไทยพบอุปกรณ์เปิดเผยบริการ SSH จำนวน 210 ระบบ มากจากการประเมิน OSINT ภายในของ บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด (ตัวเลข ณ 9 ก.ย.69) [9] |
| ช่วงเวลา (WHEN) | Timeline: ค้นพบช่องโหว่โดย CERT Polska ผ่านการวิจัยของตนเอง → เริ่มพบการโจมตีจริงในโลกจริง (ITW) ตั้งแต่วันที่ 2 ก.ย. 2569 → MikroTik ปล่อยแพตช์แก้ไขและเผยแพร่ Security Bulletin วันที่ 3 ก.ย. 2569 → CERT Polska เปิดเผยรายละเอียดต่อสาธารณะวันที่ 5 ก.ย. 2569 [1][3] |
| แรงจูงใจ (WHY) | การเข้าควบคุมโครงสร้างพื้นฐานเครือข่ายขอบเพื่อการจารกรรมข้อมูล (Traffic Sniffing/Eavesdropping), การฝังตัวเพื่อเข้าถึงเครือข่ายภายใน (Pivot/Lateral Movement) และการดัดแปลงเราเตอร์เป็น Proxy Node / DDoS Botnet [1][8] |
| วิธีการ (HOW) | ส่ง Crafted SSH Authentication Packet ปลอมค่า Public Exponent e=1 คู่กับเป้าหมาย RSA Modulus (CVE-2026-67276) ร่วมกับการส่ง Crafted Username -2 เพื่อแก้ Policy Mask (CVE-2026-86060) ได้สิทธิ์ Full Admin สั่งเพิ่มผู้ใช้ ops และเปิดพอร์ต Backdoor [1][2] |
การประเมินผลกระทบ (Impact Assessment - CIA Triad)
| มิติ CIA | ระดับผลกระทบ | รายละเอียดผลกระทบ |
|---|---|---|
| การรักษาความลับ (Confidentiality) | วิกฤต (Critical) | ผู้โจมตีสามารถเข้าถึงและดาวน์โหลดไฟล์ Configuration, Private Keys, WireGuard/IPsec VPN Secrets, Pre-shared Keys, บัญชีผู้ใช้, ข้อมูล Routing Tables ตลอดจนดักจับข้อมูลทราฟฟิกเครือข่ายทั้งหมด และอ่านไฟล์ระบบผ่าน WebFig (/jsproxy - CVE-2026-67281) [2][5] |
| ความถูกต้องสมบูรณ์ (Integrity) | วิกฤต (Critical) | สามารถแก้ไขการตั้งค่า Firewall, เพิ่มบัญชีผู้ดูแลระบบแฝง (ops), ปรับแต่ง RouterOS Scheduler/Scripts เพื่อรันโค้ดประสงค์ร้ายซ้ำ ๆ และ (ผ่าน CVE-2026-67279) สร้าง/เขียนทับ/ประกอบไฟล์ในระบบโดยไม่ต้องยืนยันตัวตนแม้แต่ครั้งเดียว, และ (ผ่าน CVE-2026-67278) ปลอมใบรับรอง TLS เพื่อปลอมตัวเป็นเซิร์ฟเวอร์ปลายทางที่เชื่อถือได้ [1][2][8] |
| ความพร้อมใช้งาน (Availability) | วิกฤต (Critical) | เสี่ยงต่อการถูกสั่งรีสตาร์ตระบบหรือทำให้เคอร์เนลพังผ่านช่องโหว่ Bandwidth-test Integer Underflow (CVE-2026-67277) หรือถูกเปลี่ยนรหัสผ่านตัดสิทธิ์ผู้ดูแลระบบตัวจริงจนอุปกรณ์ไม่สามารถให้บริการเครือข่ายได้ [2][7] |
| ความเสี่ยงทางธุรกิจ (Business Risk) | วิกฤตสูงสุด (Critical) | ความเสี่ยงขั้นรุนแรงต่อการละเมิด พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) จากการถูกดักข้อมูลทราฟฟิกลูกค้า/พนักงาน, ความเสียหายต่อเสถียรภาพโครงสร้างพื้นฐานโทรคมนาคมและเครือข่ายองค์กร, ค่าใช้จ่ายในการทำ Incident Response และ Re-provisioning เราเตอร์ [1][9] |
การวิเคราะห์เชิงเทคนิคเชิงลึก (Deep Technical Analysis)
4.1 ลำดับขั้นตอนการโจมตี (Kill Chain / Attack Flow)
ผู้โจมตีสแกนเครือข่ายอินเทอร์เน็ตเพื่อค้นหาอุปกรณ์ MikroTik RouterOS ที่เปิดเผยบริการ SSH (TCP 22), WebFig (TCP 80/443) หรือ Bandwidth-Test (TCP/UDP 2000) พร้อมเก็บข้อมูลแบนเนอร์และ Modulus ของกุญแจสาธารณะ SSH [1][9]
ผู้โจมตีส่ง SSH Authentication Request โดยใช้ Modulus (n) ของกุญแจสาธารณะที่มีอยู่แล้วในบัญชีระบบ แต่กำหนดค่า Public Exponent (e) เป็น 1 เนื่องจาก RouterOS ตรวจสอบเฉพาะ Modulus แต่ละเลย Exponent ส่งผลให้การตรวจสอบ Signature ลุล่วงโดยที่ผู้โจมตีไม่จำเป็นต้องถือครอง Private Key [1][2][5]
ระหว่างกระบวนการล็อกอิน SSH ผู้โจมตีส่ง Username ที่ขึ้นต้นด้วยอักขระต้องห้าม เช่น -2 กลไกจัดการอาร์กิวเมนต์ของ RouterOS SSH Login Path ตีความชื่อผู้ใช้เป็นพารามิเตอร์ ทำให้ Policy Mask ของเซสชันถูกเขียนทับ ส่งผลให้เซสชันได้รับสิทธิ์ Full Administrative Policy การเข้าถึงต้องอาศัยเซสชัน SSH ที่ยังไม่ผ่านการยืนยันตัวตน (Unauthenticated) มาก่อนถึง Login Helper [2][6]
เมื่อได้รับสิทธิ์ผู้ดูแลระบบสูงสุด ผู้โจมตีจะสั่งสร้างบัญชีผู้ใช้ใหม่ชื่อ ops กำหนดให้อยู่ในกลุ่ม full, ติดตั้งสคริปต์อัตโนมัติใน Scheduler, เปิดพอร์ต SOCKS/HTTP Proxy หรือสร้างอุโมงค์ VPN เพื่อใช้เราเตอร์เป็นฐานส่งต่อการโจมตี [1][2]
นอกเหนือจากเส้นทางผ่าน MikroTrick แล้ว CERT Polska ยังพบว่า RouterOS SSH เข้าสู่ Connection Protocol หลังการร้องขอ Rekey จากไคลเอนต์ได้ แม้ผู้ใช้ยังไม่เคยพยายามยืนยันตัวตนเลยแม้แต่ครั้งเดียว ทำให้ผู้โจมตีที่ไม่มีบัญชีใด ๆ สามารถเปิด Session Channel และส่ง Exec Request เพื่อสร้าง เขียนทับ หรือประกอบไฟล์ใน RouterOS Managed File Namespace ได้โดยตรง รวมถึงไฟล์สนับสนุนที่มีข้อมูล Configuration และ Diagnostic - เป็นช่องทางฝังตัวถาวรที่ไม่ต้องพึ่งพา MikroTrick เลยก็ได้ [2]
ผู้โจมตียังสามารถใช้ช่องโหว่ Bandwidth-Test (CVE-2026-67277, CWE-306) เพื่อดึงข้อมูลหน่วยความจำเคอร์เนล (Uninitialized Packet Buffer Leak) หรือทำให้เกิด Kernel Panic ผ่าน Integer Underflow, ใช้ช่องโหว่ WebFig /jsproxy (CVE-2026-67281, CWE-824) ทำ Path Traversal เข้าอ่านไฟล์ลับของระบบโดยไม่ต้องล็อกอิน และใช้ช่องโหว่ X.509 (CVE-2026-67278, CWE-347) ซึ่งเกิดจาก Trust Store ของ RouterOS ที่มี Root CA แบบ e=3 ฝังอยู่ ปลอมใบรับรองตัวกลางที่เชื่อถือได้เพื่อปลอมตัวเป็นเซิร์ฟเวอร์ TLS ปลายทางใด ๆ โดยไม่ต้องมี Private Key ของ Root [2][7]
4.2 สาเหตุรากฐานของช่องโหว่ (Root Cause)
ชุดช่องโหว่ MikroTrick และช่องโหว่ที่เกี่ยวข้องเกิดจากความบกพร่องพื้นฐานในหลายองค์ประกอบของ RouterOS
(1) ใน CVE-2026-67276 (CWE-347) กระบวนการจับคู่กุญแจสาธารณะ RSA ในโมดูล SSH ตรวจสอบเพียงประเภทกุญแจและค่า Modulus (n) แต่ละเลยการตรวจสอบค่า Public Exponent (e) ทำให้ผู้โจมตีกำหนดค่า e=1 และปลอมลายเซ็นที่ผ่านการตรวจสอบทางคณิตศาสตร์ RSA ได้สำเร็จ
(2) ใน CVE-2026-86060 (CWE-88) ฟังก์ชัน SSH Login Helper นำสตริงชื่อผู้ใช้มาประมวลผลเป็น Argument โดยไม่กรองอักขระต้องห้ามนำหน้า ทำให้ชื่อผู้ใช้เช่น -2 ถูกตีความผิดเป็นพารามิเตอร์ ส่งผลให้ Policy Mask ของเซสชันถูกเขียนทับเป็นสิทธิ์ระดับสูงสุด
(3) ใน CVE-2026-67277 (CWE-306 Missing Authentication for Critical Function ผสานกับ Integer Underflow) เซิร์ฟเวอร์ Bandwidth-Test อนุญาตให้เซสชัน related เชื่อมโยงเข้าสู่สถานะทดสอบ UDP ได้ก่อนเซสชันหลักผ่านการยืนยันตัวตน เมื่อใช้พารามิเตอร์ random-data=false จะส่งข้อมูลหน่วยความจำเคอร์เนลที่ยังไม่เคลียร์ค่าออกมา และเมื่อพารามิเตอร์ขนาดแพ็กเก็ตผิดช่วงจะเกิด Unsigned Integer Underflow นำไปสู่ผลลัพธ์ Fragment ขนาดผิดปกติและเคอร์เนลรีสตาร์ต
(4) ใน CVE-2026-67278 (CWE-347) Trust Store ของ RouterOS มี Root CA ที่ใช้ Public Exponent e=3 ฝังอยู่ ประกอบกับกระบวนการตรวจสอบลายเซ็น RSA/PKCS#1 v1.5 สำหรับ X.509 ยอมรับลายเซ็นที่ผิดรูปแบบ (Malformed) ทำให้ผู้โจมตีที่ควบคุมหรือเปลี่ยนเส้นทางการเชื่อมต่อ TLS ขาออกจากอุปกรณ์สามารถปลอมใบรับรองตัวกลางโดยไม่ต้องมี Private Key ของ Root
(5) ใน CVE-2026-67279 (CWE-841 Improper Enforcement of Behavioral Workflow) SSH ของ RouterOS เข้าสู่ Connection Protocol หลังไคลเอนต์ร้องขอ Rekey แม้ยังไม่เคยพยายามยืนยันตัวตนเลย ทำให้เปิด Session Channel และส่ง Exec Request ได้โดยไม่ต้องยืนยันตัวตน
(6) ใน CVE-2026-67281 (CWE-824) เอนจิน WebFig ในพาธ /jsproxy อ้างอิง Principal Pointer ที่ยังไม่ได้กำหนดค่าเริ่มต้นซึ่งหลงเหลืออยู่ในเซสชันที่จัดสรรใหม่ ทำให้ผู้โจมตีเตรียม Allocator ให้พาธเสิร์ฟไฟล์อ้างอิงพอยน์เตอร์นี้ด้วยสิทธิ์ที่เพียงพอ แล้วส่ง URI ที่เข้ารหัสมีส่วนประกอบ Parent-Directory เพื่อทะลุ Namespace ไฟล์ของ WebFig ไปอ่านไฟล์ที่เป็นของ root รวมถึงไฟล์ Configuration ที่มี Credential ฝังอยู่ [1][2][5][6][7]
4.3 สิ่งที่แพตช์แก้ไข (Patch Analysis)
บริษัท MikroTik ได้แก้ไขช่องโหว่ทั้ง 6 รายการใน RouterOS เวอร์ชัน 7.24.2 (Stable), 7.23.4 (Long-term), 6.49.21 (Legacy Long-term) และ 7.25beta3 (Development) โดยมีรายละเอียดการแก้ไขสำคัญดังนี้
(1) โมดูล SSH ได้รับการอัปเดตให้เปรียบเทียบโครงสร้างกุญแจ RSA อย่างสมบูรณ์ทั้ง Modulus (n) และ Exponent (e) ก่อนยอมรับการยืนยันตัวตน
(2) ฟังก์ชันจัดการล็อกอินเพิ่มการตรวจสอบความถูกต้องของชื่อผู้ใช้อย่างเข้มงวด โดยปฏิเสธชื่อผู้ใช้ที่ขึ้นต้นด้วยอักขระต้องห้าม
(3) ปรับปรุง State Machine ของ Bandwidth-Test และ SSH Rekey/Key-Exchange ให้ปฏิเสธการประมวลผลข้อมูลหรือคำสั่ง Exec ใด ๆ หากยังไม่ผ่านการยืนยันตัวตน (แก้ไขทั้ง CVE-2026-67277 และ CVE-2026-67279)
(4) เข้มงวดการตรวจสอบลายเซ็น RSA/PKCS#1 v1.5 ในกระบวนการ X.509 Validation เพื่อปิดช่องปลอมใบรับรอง TLS (CVE-2026-67278)
(5) แก้ไขตัวจัดการหน่วยความจำของ WebFig เพื่อล้างค่า Principal Pointer ให้เป็นศูนย์อย่างปลอดภัยก่อนใช้งานในเซสชันใหม่ (CVE-2026-67281)
(6) เพิ่มกลไกความปลอดภัยใหม่ Flagged Mechanism ซึ่งทำงานอัตโนมัติขณะบูตระบบเพื่อสแกนหาหลักฐานการถูกบุกรุกที่ทราบแล้ว ทำการปิดใช้งานรายการต้องสงสัย และบันทึกคำเตือนระดับวิกฤตพร้อมตั้งค่าสถานะ Flagged ในคำสั่ง /system/device-mode/print อย่างไรก็ตาม CERT Polska เตือนว่ากลไกนี้ตรวจจับเฉพาะร่องรอยที่ทราบแล้วเท่านั้น การไม่พบสถานะ Flagged ไม่ใช่หลักฐานยืนยันว่าไม่เคยถูกโจมตี [1][3][4]
การตรวจจับและวิศวกรรมการป้องกัน (Detection Engineering)
5.1 ตัวบ่งชี้การถูกโจมตี (Indicators of Compromise - IoC)
| IoC Indicator (Defanged) | Type | Description |
|---|---|---|
82[.]192[.]72[.]4 |
IPv4 Address | ไอพีแอดเดรสต้นทางของการโจมตีที่สำเร็จซึ่งยืนยันโดย CERT Polska (สร้างบัญชีแฝง ops) พบตั้งแต่ 2 ก.ย. 2569 [1] |
103[.]102[.]31[.]18 |
IPv4 Address | ไอพีแอดเดรสที่ใช้ในความพยายามโจมตีช่องโหว่ MikroTrick [1] |
ops |
User Account | ชื่อบัญชีผู้ดูแลระบบแฝงระดับ Full Admin ที่ถูกสร้างขึ้นโดยอัตโนมัติจากการโจมตี [1] |
-2 |
Username Pattern | ชื่อผู้ใช้ที่ขึ้นต้นด้วยอักขระต้องห้ามซึ่งใช้ในการทับ Policy Mask ของ SSH Login Helper [1][2] |
login failure for user -2 from <ip> via ssh |
Log String | ข้อความบันทึกใน RouterOS Syslog ที่แสดงถึงความพยายามยกระดับสิทธิ์ผ่าน SSH [1] |
user <name> added by ssh:-2@<ip> |
Log String | ข้อความบันทึกใน RouterOS Syslog ยืนยันการสร้างบัญชีแฝงสำเร็จผ่านเซสชันที่ถูกเจาะ [1] |
flagged: yes |
System Status | สถานะความปลอดภัยในคำสั่ง /system/device-mode/print แสดงว่าระบบตรวจพบร่องรอยการถูกดัดแปลงที่ทราบแล้ว (ไม่ครอบคลุมร่องรอยที่ยังไม่ทราบ) [3][4] |
/jsproxy |
URI Path | พาธใน WebFig ที่มีช่องโหว่ Unauthenticated File Read (CVE-2026-67281) [2] |
Unexpected SSH exec request during/after client-initiated rekey, pre-auth |
Behavioral Pattern | รูปแบบพฤติกรรมที่บ่งชี้การใช้ประโยชน์จาก CVE-2026-67279 - ไม่มี Log String ตายตัวที่ MikroTik/CERT Polska เผยแพร่ ต้องอาศัย Session/Packet Analysis [2] |
คำแนะนำการรับมือและบรรเทาความเสี่ยง (Mitigation & Remediation)
6.1 มาตรการเร่งด่วน (Immediate - ภายใน 24 ชั่วโมง)
เวอร์ชันที่ได้รับการแก้ไขแล้ว (ตามประกาศทางการของ MikroTik และ CERT Polska):
| Track / Branch | เวอร์ชันเก่า (มีช่องโหว่) | เวอร์ชันใหม่ (แก้ไขแล้ว) |
|---|---|---|
| RouterOS v7 (Stable) | < 7.24.2 | 7.24.2 หรือสูงกว่า |
| RouterOS v7 (Long-term) | < 7.23.4 | 7.23.4 หรือสูงกว่า |
| RouterOS v6 (Legacy Long-term) | < 6.49.21 | 6.49.21 หรือสูงกว่า |
| RouterOS v7 (Development) | < 7.25beta3 | 7.25beta3 หรือสูงกว่า |
คำสั่งในการอัปเดตและป้องกัน (CLI Commands):
# 1. อัปเดตเฟิร์มแวร์ผ่าน RouterOS Terminal CLI โดยตรง
/system package update check-for-updates
/system package update install
# 2. ตรวจสอบเวอร์ชันและสถานะความปลอดภัยหลังการรีบูต
/system resource print
/system/device-mode/print
# 3. มาตรการชั่วคราวฉุกเฉิน (กรณีที่ยังไม่สามารถอัปเดตได้ทันที - ปิดกั้นพอร์ตจากภายนอก):
/ip firewall filter add chain=input protocol=tcp dst-port=22,80,443,2000,8291 in-interface-list=WAN action=drop comment="Drop Public Management Traffic"
# 4. มาตรการเสริมตามคำแนะนำ CERT Polska หากยังไม่ได้แพตช์ (ห้ามใช้ SSH client ในตัวเชื่อมต่อเครือข่ายที่ไม่น่าเชื่อถือ):
# อย่าเริ่มการเชื่อมต่อ TLS ขาออก หรือใช้ /system ssh, /system ssh-exec จากอุปกรณ์ที่ยังไม่ได้แพตช์6.2 การตรวจสอบ Forensic & Indicator Checking
- ตรวจสอบสถานะการบุกรุก: รันคำสั่ง
/system/device-mode/printเพื่อดูค่า flagged หากมีค่าเป็น yes แสดงว่าระบบตรวจพบการบุกรุก - ตรวจสอบประวัติ Log: ค้นหาคำสำคัญ
/log print where message~"user -2"หรือ/log print where message~"flagged" - ตรวจสอบบัญชีผู้ใช้: รันคำสั่ง
/user printและ/user active printเพื่อหาบัญชีแปลกปลอม เช่น ops - ตรวจสอบสคริปต์อัตโนมัติ: รันคำสั่ง
/system scheduler printและ/system script printเพื่อค้นหางานแปลกปลอม - ตรวจสอบบริการพร็อกซีและ Tunnel: รันคำสั่ง
/ip proxy print,/ip socks print,/interface wireguard print,/interface ovpn-server print - ตรวจสอบการตั้งค่า DNS และ NAT: รันคำสั่ง
/ip dns printเพื่อดูว่ามีการเปลี่ยน Static DNS Server หรือเพิ่ม NAT Redirection หรือไม่ - ตรวจสอบไฟล์ที่ถูกสร้าง/แก้ไขในระบบไฟล์ที่ไม่คาดคิด (เกี่ยวข้องกับ CVE-2026-67279) แม้ไม่พบ Log ยืนยันตัวตนที่ล้มเหลว
6.3 มาตรการตอบสนองเหตุการณ์ (Incident Response)
หากพบว่าอุปกรณ์ติดสถานะ flagged: yes หรือพบหลักฐานการมีอยู่ของบัญชี ops หรือสคริปต์แปลกปลอม ให้ถือว่าอุปกรณ์ถูกควบคุมโดยสมบูรณ์แล้ว ให้ดำเนินการดังนี้
(1) กักกันอุปกรณ์ออกจากเครือข่ายหลักทันที (Isolate)
(2) บันทึกและสำรองข้อมูล Log รวมถึง Configuration สำหรับกระบวนการ Forensic Analysis โดยใช้คำสั่ง /export file=forensic_backup
(3) ทำการล้างข้อมูลและติดตั้งระบบใหม่ด้วยเครื่องมือ Netinstall จากคอมพิวเตอร์ที่เชื่อถือได้เท่านั้น (ห้ามใช้การกด Reset จากตัวเครื่องหรือการ Restore Binary Backup เดิม)
(4) ตั้งรหัสผ่านและสร้าง SSH Keys ใหม่ทั้งหมด
(5) ทำการ Rotate บัญชีผู้ใช้, รหัสผ่าน VPN และ API Tokens ที่เคยผ่านอุปกรณ์นี้ทั้งหมด
(6) แจ้งรายงานเหตุการณ์ไปยัง ThaiCERT และหน่วยงานกำกับดูแลตาม พ.ร.บ. ไซเบอร์ฯ [1][4]
6.4 มาตรการระยะกลาง-ยาว (Strategic Measures)
- บังคับใช้นโยบาย Zero Public Management Interface: ห้ามเปิดเผยพอร์ตจัดการ (SSH, WebFig, Winbox, API, Btest) สู่เครือข่ายอินเทอร์เน็ตสาธารณะโดยเด็ดขาด
- จัดทำระบบ Out-of-Band Management หรือเข้าถึงผ่านเข้ารหัส VPN ที่มีระบบ Multi-Factor Authentication (MFA) เท่านั้น
- ส่งต่อข้อมูล Syslog ของเราเตอร์ทั้งหมดไปยังระบบศูนย์กลาง (Centralized SIEM/SOC) แบบ Real-time เพื่อเฝ้าระวังพฤติกรรมผิดปกติ
- สร้างกระบวนการ Automated Patch Management และ Vulnerability Auditing สำหรับอุปกรณ์เครือข่ายขอบภายในกรอบเวลา 48-72 ชั่วโมง
- กำหนด Baseline Configuration และตรวจสอบการเปลี่ยนแปลงการตั้งค่าอย่างสม่ำเสมอด้วย Configuration Drift Detection
- จัดทำ Inventory อุปกรณ์เครือข่ายขอบทั้งหมดพร้อม Version Tracking เพื่อให้สามารถระบุอุปกรณ์ที่ยังไม่ได้แพตช์ได้อย่างรวดเร็วในเหตุการณ์ครั้งต่อไป
เป้าหมายที่มีช่องโหว่ในประเทศไทย (Vulnerable Thai Targets)
จากการวิเคราะห์ข้อมูลภัยคุกคามเชิงรุก (Proactive Threat Intelligence) ผ่านระบบ OSINT โดย บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด ณ วันที่ 6 กันยายน 2569 ตรวจพบอุปกรณ์ MikroTik RouterOS ในประเทศไทยที่เปิดพอร์ตบริการ SSH สู่เครือข่ายสาธารณะอย่างไม่ปลอดภัยจำนวนทั้งสิ้น 210 ระบบ อุปกรณ์เหล่านี้เปรียบเสมือนประตูหน้าบ้านที่ไม่ได้ล็อก ซึ่งตกเป็นเป้าหมายหลักของการโจมตีด้วยช่องโหว่ MikroTrick (CVE-2026-67276 + CVE-2026-86060) ที่สามารถยึดสิทธิ์ระดับสูงได้ทันทีโดยไม่ต้องใช้รหัสผ่าน
เพื่อให้เข้าใจถึงรูปแบบความเสี่ยงทางไซเบอร์ของประเทศไทยในภาพรวม ทีมวิจัยได้ทำการจำแนกข้อมูลทางสถิติที่สำคัญดังนี้
7.1 ปรากฏการณ์ ความปลอดภัยลวงตา จากการซ่อนพอร์ต (The Security by Obscurity Fallacy)
ข้อค้นพบที่น่าตกใจที่สุดจากการวิเคราะห์ข้อมูลคือพฤติกรรมการตั้งค่าของผู้ดูแลระบบเครือข่ายในประเทศไทยจำนวนมากที่เชื่อว่าการย้ายพอร์ตบริการออกจากพอร์ตมาตรฐานจะช่วยให้รอดพ้นจากการถูกโจมตีได้
- พบว่ามีการพึ่งพาการซ่อนพอร์ตมากถึง 95.7%: จาก 210 ระบบที่พบ มีเพียง 9 ระบบ (4.3%) เท่านั้นที่ยังใช้พอร์ตมาตรฐาน (TCP 22) ในขณะที่อีก 201 ระบบ (95.7%) หลีกเลี่ยงไปใช้พอร์ตทางเลือกอื่น
- พอร์ตทางเลือกยอดนิยม: พอร์ตที่ถูกนำมาใช้ทดแทนพอร์ตมาตรฐานมากที่สุด 4 อันดับแรก ได้แก่
| อันดับ | พอร์ตบริการ | สัดส่วน (%) | จำนวนระบบ |
|---|---|---|---|
| 1 | TCP 2222 |
20.48% | 43 ระบบ |
| 2 | TCP 8822 |
13.81% | 29 ระบบ |
| 3 | TCP 18443 |
12.86% | 27 ระบบ |
| 4 | TCP 9696 |
10.48% | 22 ระบบ |
ข้อสังเกตเชิงยุทธศาสตร์: การย้ายพอร์ต (Port-Hopping) ไม่สามารถป้องกันการโจมตีจากช่องโหว่ MikroTrick ได้เลย เนื่องจากกลุ่มภัยคุกคามในปัจจุบัน เช่น ผู้โจมตีจากไอพีต้นทาง 82.192.72[.]4 ใช้เครื่องมือสแกนอัตโนมัติที่สามารถวิเคราะห์โปรโตคอล (Protocol Fingerprinting) ได้โดยตรง เมื่อเครื่องมือตรวจพบว่าเป็นบริการ SSH ของ RouterOS การโจมตีเพื่อข้ามการยืนยันตัวตนก็จะถูกส่งออกไปโจมตีเป้าหมายทันที องค์กรที่อาศัยเพียงกลยุทธ์นี้จึงตกอยู่ในความเสี่ยงระดับวิกฤตโดยไม่รู้ตัว
7.2 การกระจุกตัวของความเสี่ยงในโครงสร้างพื้นฐานสำคัญ (Risk Concentration in Critical Infrastructure)
เมื่อวิเคราะห์จากกลุ่มหมายเลขไอพีที่เชื่อมโยงกับหน่วยงาน (Autonomous System Numbers - ASN) พบว่าความเสี่ยงส่วนใหญ่กระจุกตัวอยู่ในภาคส่วนที่เป็นกระดูกสันหลังของระบบเครือข่ายระดับประเทศ
- กลุ่มผู้ให้บริการโทรคมนาคมและศูนย์ข้อมูล (Telecom & Data Centers) คิดเป็น 93.8% (197 ระบบ) อุปกรณ์ส่วนใหญ่ที่คาดว่ามีช่องโหว่ถูกใช้งานในฐานะ Edge Router หรือ Gateway ที่เชื่อมโยงโครงข่ายของผู้ให้บริการอินเทอร์เน็ตเข้ากับลูกค้าองค์กร การที่อุปกรณ์ระดับโครงสร้างพื้นฐานเหล่านี้ถูกยึดครอง อาจนำไปสู่การดักจับข้อมูลทราฟฟิก (Traffic Interception) ในวงกว้าง
- กลุ่มโครงข่ายองค์กรและสถาบันอื่นๆ (Enterprise & Other Networks): คิดเป็น 6.2% (13 ระบบ) ครอบคลุมตั้งแต่ภาคการศึกษา ธุรกิจขนาดกลางถึงขนาดย่อม ไปจนถึงหน่วยงานระดับท้องถิ่น
7.3 แผนที่ความเสี่ยงเชิงพื้นที่ (Geospatial Risk Distribution)
การกระจายตัวของอุปกรณ์ที่คาดว่ามีช่องโหว่มีความสอดคล้องกับพื้นที่ศูนย์กลางทางเศรษฐกิจและอุตสาหกรรมของประเทศ
- กรุงเทพมหานคร: 96 ระบบ (45.71%) - สะท้อนความหนาแน่นของศูนย์ข้อมูลและสำนักงานใหญ่ขององค์กรธุรกิจ
- นครราชสีมา: 8 ระบบ (3.81%) - ประตูสู่ภาคอีสานและฐานการผลิตอุตสาหกรรม
- ชลบุรี (รวมบางละมุง): 11 ระบบ (5.23%) - พื้นที่เศรษฐกิจ EEC และการกระจายตัวของเครือข่ายโลจิสติกส์
- เชียงใหม่: 6 ระบบ (2.86%) - ศูนย์กลางธุรกิจและการศึกษาในภาคเหนือ
- จังหวัดอื่นๆ ทั่วประเทศ: 89 ระบบ (42.39%) - กระจายตัวอยู่ในโหนดเครือข่ายย่อยระดับจังหวัด
7.4 นัยสำคัญและผลกระทบต่อเนื่อง (Implications and Cascading Effects)
จากข้อมูลสถิติข้างต้น ชี้ให้เห็นว่าพื้นผิวการโจมตีของ MikroTik RouterOS ในไทยไม่ได้จำกัดอยู่เพียงอุปกรณ์ตามบ้าน (Home Use) แต่เชื่อมโยงลึกซึ้งถึง โครงสร้างพื้นฐานระดับองค์กร หากกลุ่มผู้โจมตีทำการสร้างบัญชีแฝงระดับผู้ดูแลระบบสูงสุด เช่น บัญชีชื่อ ops หรือใช้ช่องโหว่ (CVE-2026-67279) เพื่อฝังตัวอยู่ในอุปกรณ์เหล่านี้สำเร็จ จะก่อให้เกิดผลกระทบลูกโซ่ร้ายแรง ได้แก่
- การสูญเสียความลับของข้อมูล (Data Confidentiality Breach): ทราฟฟิกที่วิ่งผ่านเราเตอร์ที่มีช่องโหว่สามารถถูกดักฟัง ถอดรหัส VPN หรือขโมยข้อมูลสำคัญได้
- การใช้เป็นฐานในการโจมตี (Pivot for Lateral Movement): เราเตอร์ที่ตั้งอยู่หน้าด่าน (Edge) จะกลายเป็นช่องทางให้ผู้โจมตีเจาะทะลุระบบไฟร์วอลล์เข้าสู่เครือข่ายวงใน (Intranet) ขององค์กรได้อย่างเงียบเชียบ
- ภัยคุกคามต่อความมั่นคงทางไซเบอร์ระดับประเทศ: การถูกรวมเข้าเป็นเครือข่ายบ็อตเน็ตเพื่อนำไปใช้โจมตีโครงสร้างพื้นฐานอื่นๆ หรือใช้ซ่อนพรางไอพี (Proxy) ในการก่ออาชญากรรมทางไซเบอร์
การจับคู่กับกรอบ MITRE ATT&CK Framework
| Tactic | Technique ID | Technique Name | Procedure / Details |
|---|---|---|---|
| Initial Access | T1190 | Exploit Public-Facing Application | โจมตีพอร์ต SSH (TCP 22) ของ MikroTik RouterOS ที่เปิดสู่สาธารณะผ่านช่องโหว่การข้ามการยืนยันตัวตน (CVE-2026-67276) [1][8] |
| Privilege Escalation | T1548 | Abuse Elevation Control Mechanism | ใช้ชื่อผู้ใช้รูปแบบต้องห้าม -2 โจมตี Argument Handling ใน SSH Login Path เพื่อเขียนทับ Policy Mask สู่สิทธิ์ Full Admin (CVE-2026-86060) [2][8] |
| Persistence | T1136.001 | Create Account: Local Account | สร้างบัญชีผู้ดูแลระบบแฝงชื่อ ops ในกลุ่ม full เพื่อคงสิทธิ์การเข้าถึงถาวร [1][8] |
| Execution | T1059.008 | Command and Scripting Interpreter: Network Device CLI | ส่งคำสั่ง RouterOS CLI ผ่าน SSH Exec Channel เพื่อแก้ไขการตั้งค่าเครือข่ายและรันสคริปต์ [1][8] |
| Persistence | T1053 | Scheduled Task/Job | ตั้งค่างานใน /system scheduler เพื่อดึงและรันสคริปต์อันตรายจากเซิร์ฟเวอร์ C2 อย่างต่อเนื่อง [1][8] |
| Defense Evasion | T1553.004 | Subvert Trust Controls: Install Root Certificate | อาศัย Root CA แบบ e=3 ที่ฝังอยู่ใน Trust Store ของ RouterOS ปลอมใบรับรองตัวกลางเพื่อปลอมตัวเป็นเซิร์ฟเวอร์ TLS ปลายทาง (CVE-2026-67278) [2][8] |
| Discovery | T1049 | System Network Connections Discovery | สำรวจทราฟฟิกและเส้นทางเครือข่ายภายในผ่านตารางเราต์และอินเทอร์เฟซต่าง ๆ [1][8] |
| Impact | T1499.004 | Endpoint Denial of Service: Application or System Exploitation | ส่ง Crafted UDP Packet ไปยัง Bandwidth-Test ก่อให้เกิด Integer Underflow ทำให้เคอร์เนลของ RouterOS แครช (CVE-2026-67277) [2][8] |
ข้อสังเกตเชิงยุทธศาสตร์ (Strategic Insights)
1. การค้นพบช่องโหว่ด้วย Agentic AI (GPT-5.5-cyber / GPT-5.6-sol) เป็นจุดเปลี่ยนสำคัญของวงการไซเบอร์
CERT Polska ยืนยันโดยตรงว่าใช้โมเดลเหล่านี้ภายใต้โครงการ OpenAI GTAC ในสภาพแวดล้อมวิจัยแบบ Agentic เพื่อสร้าง/คืนสภาพห้องทดลอง เปรียบเทียบเวอร์ชัน วิเคราะห์ RFC และไบนารี อย่างไรก็ตาม CERT Polska เน้นย้ำว่านี่ไม่ใช่ผลจาก Prompt เดียว ทุกสมมติฐานต้องผ่านการยืนยันบนระบบจริงและการประเมินผลกระทบโดยมนุษย์เสมอ ซึ่งส่งสัญญาณเตือนว่าในอนาคตอันใกล้ กลุ่มผู้โจมตีระดับสูง (APT/Cybercrime) อาจนำเทคนิคทำนองเดียวกันมาใช้ค้นหาช่องโหว่ 0-Day ในระดับอุตสาหกรรม [1][10]
2. ความเสี่ยงของอุปกรณ์เครือข่ายขอบ (Edge Device Vulnerability Epidemic)
เราเตอร์และไฟร์วอลล์กลายเป็นเป้าหมายหลักอันดับต้นของผู้โจมตี เนื่องจากอุปกรณ์เหล่านี้มักไม่มีการติดตั้งซอฟต์แวร์ตรวจจับ Endpoint Detection and Response (EDR) และทำงานอยู่บริเวณขอบเครือข่าย การถูกเจาะยึดครอง MikroTik เพียงเครื่องเดียวทำให้ผู้โจมตีสามารถดักทราฟฟิกทั้งหมด (Man-in-the-Middle) และทะลุเข้าสู่เครือข่ายภายในองค์กรได้อย่างง่ายดาย [1][9]
3. นวัตกรรมการตรวจจับในระดับเฟิร์มแวร์ (The Flagged Mechanism Paradigm)
การที่ MikroTik เพิ่มฟังก์ชันตรวจจับการถูกบุกรุกตั้งแต่ขั้นตอนการบูตระบบถือเป็นแนวโน้มใหม่ที่ดี อย่างไรก็ตาม CERT Polska ระบุชัดเจนว่ากลไกนี้ตรวจจับเฉพาะ Artifacts ที่เป็นที่รู้จักแล้วเท่านั้น การไม่พบสถานะ Flagged จึงไม่ใช่การยืนยันว่าอุปกรณ์ไม่เคยถูกโจมตี และไม่ควรใช้แทนการตรวจสอบเชิงลึกด้วยตนเอง [3][4]
4. ผลกระทบด้านกฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA) และโครงสร้างพื้นฐานสำคัญ (CII)
อุปกรณ์เครือข่ายในประเทศไทยจำนวนมากที่เปิดเผยสู่สาธารณะ (ตัวเลขจากการประเมิน OSINT ภายในของ บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด) หากถูกยึดครองเพื่อดักฟังข้อมูลทราฟฟิก อาจนำไปสู่การรั่วไหลของข้อมูลส่วนบุคคล ซึ่งเข้าข่ายความรับผิดตามมาตรา 37 แห่ง พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ที่กำหนดให้ต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และต้องแจ้งเหตุละเมิดแก่สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ภายใน 72 ชั่วโมง [1][9]
5. ความครบถ้วนของขอบเขตช่องโหว่ (Scope Completeness)
CERT Polska เปิดเผยช่องโหว่รวม 6 รายการ ไม่ใช่เพียง 2 รายการที่ประกอบเป็น MikroTrick ซึ่งองค์กรที่มุ่งเน้นการป้องกันเฉพาะ CVE-2026-67276/CVE-2026-86060 อาจมองข้ามเวกเตอร์เสริมอย่าง CVE-2026-67279 (การเขียนไฟล์โดยไม่ต้องยืนยันตัวตนผ่าน SSH Rekey) ซึ่งไม่ต้องพึ่งพา MikroTrick เลยและอาจไม่ทิ้ง Log Signature แบบเดียวกัน [2]
เอกสารอ้างอิง (References)
ต้องการตรวจประเมินความเสี่ยงและเฝ้าระวังภัยคุกคามสำหรับองค์กรของคุณ?
Cyber Guard Intelligence ให้บริการ Fractional CTI และ Managed OSINT สำหรับองค์กรในประเทศไทย เฝ้าระวังการรั่วไหลของข้อมูล ตรวจสอบพื้นผิวการโจมตี (Attack Surface Exposure) ตลอด 24 ชั่วโมง พร้อมแปลงเป็นกฎสกัดกั้นภัยคุกคามบน Firewall/EDR ทันที