Nếu router MikroTik chạy RouterOS dưới mốc sửa tương ứng, thiết bị cần được cập nhật: nhánh 6.x lên 6.49.21, 7.23.x lên 7.23.4, còn 7.24.x lên 7.24.2. CISA đã đưa CVE-2026-67277 vào danh mục lỗ hổng bị khai thác. Lỗi không đòi hỏi xác thực khi đi qua dịch vụ bị ảnh hưởng và việc mở SSH ra Internet làm rủi ro tăng mạnh.

Bộ định tuyến gia đình và thiết bị mạng đặt trong phòng khách (ảnh minh họa)

Kiểm tra nhánh RouterOS đang chạy

Hồ sơ NVD ghi các phiên bản từ 6.0 đến dưới 6.49.21, từ 7.0.0 đến dưới 7.23.4 và từ 7.24 đến dưới 7.24.2 thuộc phạm vi ảnh hưởng. Người quản trị mở WebFig hoặc WinBox, vào mục “Check for updates” để đọc nhánh và số phiên bản hiện tại. MikroTik xác nhận các bản sửa đã có trong nhiều kênh phát hành.

Nhánh RouterOS Mốc sửa tối thiểu Ghi chú
6.x 6.49.21 Long-term
7.23.x 7.23.4 Long-term
7.24.x 7.24.2 Stable
Sơ đồ ba nhánh RouterOS và mốc phiên bản tối thiểu cần cập nhật (ảnh minh họa)

Nếu trình cập nhật cung cấp bản cao hơn trong cùng nhánh, nên chọn bản mới hơn đã có trong kênh phù hợp. NAS thường không chạy RouterOS; nếu NAS nằm sau router MikroTik, việc kiểm tra router vẫn là bước trước. Tên model không cho biết phiên bản phần mềm, nên cần đọc trực tiếp trong giao diện quản trị.

Router, máy chủ và thiết bị lưu trữ mạng trong tủ thiết bị (ảnh minh họa)

Vì sao cần xử lý sớm

CERT Polska cho biết đã quan sát các cuộc tấn công vào thiết bị RouterOS truy cập được từ Internet. CVE-2026-67277 liên quan đến dịch vụ bandwidth-test, cho phép kết nối chưa xác thực đi vào trạng thái vốn chỉ dành cho phiên đăng nhập. Hai lỗi đi kèm khiến dữ liệu chưa khởi tạo trong bộ đệm bị lộ hoặc gây tràn số nguyên, từ đó dẫn đến rò rỉ bộ nhớ kernel và DoS từ xa làm thiết bị khởi động lại.

CERT Polska chấm CVE này CVSS 3.1 là 8,8. Điểm số mô tả mức độ nghiêm trọng kỹ thuật, không khẳng định một router cụ thể đã bị xâm nhập. API EPSS của FIRST được kiểm tra ngày 11/9/2026 trả về 0,748%; chỉ số này thay đổi theo ngày và không thay thế việc kiểm tra log.

Thiết bị mạng trong tủ máy với đèn trạng thái đang hoạt động (ảnh minh họa)

Trong bản sửa, RouterOS kiểm tra một số dấu hiệu thay đổi trái phép khi khởi động. Nếu phát hiện dấu vết phù hợp, hệ thống ghi cảnh báo trong Log và đặt trạng thái “Flagged”. CISA xác nhận CVE đã bị khai thác, nhưng trường thông tin về việc sử dụng trong ransomware là Unknown. Không có Flagged cũng không chứng minh router sạch, vì cơ chế chỉ nhận diện một số dấu vết.

Bo mạch và linh kiện mạng trong thiết bị điện tử (ảnh minh họa)

Các bước cho gia đình và doanh nghiệp nhỏ

  1. Ghi lại nhánh và số phiên bản RouterOS. Quy trình đối chiếu phiên bản tương tự cũng cần được áp dụng cho các thiết bị mạng khác.
  2. Xuất hoặc sao lưu cấu hình, kiểm tra nguồn điện và dung lượng lưu trữ, rồi cập nhật lên mốc tối thiểu hoặc bản cao hơn trong cùng nhánh. Thông báo phát hành của MikroTik nhắc người quản trị giữ bản sao cấu hình trước khi nâng cấp.
  3. Sau khi khởi động lại, kiểm tra Log, trạng thái “Flagged”, tài khoản không rõ, script, tác vụ định lịch, proxy và tunnel. Đây là các điểm CERT Polska nêu trong hướng dẫn xử lý thiết bị đã được cập nhật.
  4. Nếu chưa cập nhật ngay, đóng SSH và các dịch vụ quản trị với mạng không tin cậy, chỉ cho phép IP quản trị đã xác định hoặc truy cập qua WireGuard. Đây chỉ là biện pháp giảm bề mặt tấn công tạm thời.

CISA dùng trạng thái khai thác, mức phơi nhiễm tài sản và tác động kỹ thuật để sắp xếp ưu tiên cập nhật. BOD 26-04 áp dụng cho cơ quan liên bang Mỹ, không tạo ra thời hạn pháp lý tự động cho hộ gia đình hay doanh nghiệp tại Việt Nam. Đơn vị vận hành vẫn cần ghi rõ tài sản nào mở dịch vụ quản trị ra Internet và thiết bị nào giữ vai trò cổng vào mạng nội bộ.

Màn hình máy tính hiển thị mã và bảng cài đặt mạng (ảnh minh họa)

Tại Việt Nam thì sao

Tại Việt Nam, người dùng MikroTik vẫn đối chiếu các mốc RouterOS do MikroTik công bố, không có mốc phiên bản riêng theo quốc gia. Sản phẩm MikroTik xuất hiện trên các sàn thương mại điện tử trong nước, từ dòng hEX đến RB5009, nhưng tên sản phẩm và giá niêm yết thay đổi theo nhà bán hàng, hàng chính hãng hay hàng đã qua sử dụng. Danh sách MikroTik trên Shopee Việt Nam chỉ nên dùng để kiểm tra mức độ sẵn có và thông tin người bán, không phải bằng chứng rằng thiết bị đã chạy bản RouterOS an toàn.

Với thiết bị đang dùng tại nhà trọ, cửa hàng hoặc văn phòng nhỏ ở Việt Nam, bước đầu tiên là hỏi người lắp đặt hoặc nhà cung cấp tên model, nhánh RouterOS và cách truy cập WebFig hoặc WinBox. Nếu thiết bị được bàn giao cùng modem của nhà mạng, cần xác định thiết bị nào đang làm cổng định tuyến và thiết bị nào chỉ phát Wi-Fi. Bản cập nhật phải áp dụng cho router thực sự chạy RouterOS; thay modem hoặc đổi tên mạng không sửa được phần mềm lỗi.

Cổng Thông tin điện tử Chính phủ ghi Luật An ninh mạng số 116/2025/QH15 được ban hành ngày 10/12/2025 và có hiệu lực từ ngày 1/7/2026. Đây là khung pháp lý chung về an ninh mạng tại Việt Nam, không phải thông báo riêng cho CVE-2026-67277 và cũng không ấn định mốc 6.49.21, 7.23.4 hay 7.24.2. Doanh nghiệp cần đối chiếu thêm quy trình quản lý tài sản, phân loại hệ thống và yêu cầu của hợp đồng dịch vụ đang áp dụng.

Đối với doanh nghiệp, bản ghi tối thiểu nên có địa chỉ quản trị, vị trí lắp đặt, người phụ trách, nhánh RouterOS, thời điểm sao lưu và kết quả kiểm tra sau cập nhật. Router đặt tại cửa hàng hoặc chi nhánh thường bị bỏ sót vì không nằm trong danh sách máy chủ. Nếu SSH, WebFig, WWW-SSL hoặc bandwidth-test mở từ Internet, tài sản đó cần được đưa lên trước trong danh sách xử lý. Khi không xác định được ai quản trị thiết bị, hãy liên hệ nhà cung cấp đường truyền hoặc đơn vị lắp đặt để khóa quyền truy cập không còn sử dụng.

Tính đến thời điểm bài viết được thực hiện, chúng tôi chưa tìm thấy thông báo chính thức của cơ quan chức năng Việt Nam đưa ra số liệu về số router MikroTik bị khai thác trong nước hoặc một thời hạn vá riêng cho CVE này. Khoảng trống dữ liệu đó không chứng minh thiết bị tại Việt Nam chưa bị ảnh hưởng. Cách kiểm tra có căn cứ vẫn là đọc phiên bản, xác định dịch vụ mở ra Internet, lưu Log và rà lại tài khoản, script cùng thay đổi cấu hình sau khi nâng cấp.

Câu hỏi thường gặp

RouterOS cần đạt phiên bản nào?
Nhánh 6.x cần đạt 6.49.21, 7.23.x cần đạt 7.23.4, còn 7.24.x cần đạt 7.24.2. Nếu kênh cập nhật cung cấp bản cao hơn trong cùng nhánh, hãy chọn bản mới hơn.

Router gia đình không mở SSH có cần cập nhật không?
Có. MikroTik nói cấu hình mặc định thường không mở SSH ra Internet và khuyến nghị mọi người dùng vẫn nâng cấp. Sau khi cập nhật, vẫn cần kiểm tra Log, tài khoản và script.

Không thấy Flagged có nghĩa là thiết bị an toàn không?
Không. Flagged chỉ phản ánh các dấu vết mà cơ chế kiểm tra nhận diện được. Không có cảnh báo vẫn cần rà tài khoản, script, tác vụ định lịch, proxy, tunnel và các thay đổi khác mà người quản trị không nhận ra.

Chưa thể cập nhật ngay thì làm gì?
Đóng SSH, WWW, WWW-SSL và bandwidth-test với mạng không tin cậy; chỉ cho phép IP quản trị đã xác định hoặc dùng VPN. Đây không phải bản vá, nên vẫn phải đưa thiết bị lên kế hoạch cập nhật sớm.