MikroTik RouterOS có lỗ hổng bị khai thác: phiên bản cần kiểm tra và cập nhật

Router chạy MikroTik RouterOS cần được kiểm tra phiên bản sau khi CVE-2026-67279 được đưa vào danh mục lỗ hổng bị khai thác đã biết của CISA. Dữ liệu CISA ghi nhận CVE-2026-67279 trong danh mục này; bản ghi NVD mô tả lỗi có thể bị kích hoạt từ xa mà không cần tài khoản hay thao tác của người dùng. Quy trình kiểm kê phiên bản có thể đối chiếu với bài hướng dẫn kiểm tra MikroTik RouterOS trước đó.

Mức độ rủi ro của CVE-2026-67279

CISA ghi ngày đưa CVE-2026-67279 vào danh mục là 25/9/2026 và đặt hạn xử lý là 28/9/2026. NVD ghi điểm CVSS 3.1 là 6,5, thuộc mức trung bình, với điều kiện tấn công không yêu cầu tài khoản hoặc tương tác của người dùng. Dữ liệu FIRST EPSS ngày 7/10/2026 ghi 1,027%, thường được làm tròn thành 1,0% cho 30 ngày tiếp theo.

Trường liên hệ với ransomware trong cùng dữ liệu CISA là Unknown. Vì vậy, hiện chưa đủ căn cứ để gọi đây là một cuộc tấn công ransomware. Rủi ro thực tế vẫn phụ thuộc vào việc cổng SSH có thể bị tiếp cận hay không, thiết bị đang chạy bản RouterOS nào và cấu hình đã từng bị thay đổi hay chưa.

Kiểm tra thiết bị và phiên bản

Hãy lập danh sách các bộ định tuyến MikroTik đang dùng tại nhà, văn phòng, cửa hàng hoặc phòng máy. Trong RouterOS, mở mục “Check for updates” để xem nhánh phát hành và phiên bản hiện tại. Mốc sửa CVE-2026-67279 là 6.49.21 cho nhánh 6.x Long-term, 7.23.4 cho nhánh 7.x Long-term và 7.24.2 cho nhánh 7.x Stable.

Thiết bị NAS nối phía sau bộ định tuyến không tự chạy RouterOS. Vì thế, hãy kiểm tra RouterOS trên bộ định tuyến trước, sau đó xem thông báo bảo mật riêng của nhà sản xuất NAS. Tên mạng Wi-Fi không đủ để xác định model; cần xem nhãn thiết bị, giao diện quản trị hoặc hồ sơ bàn giao.

Bản sửa lỗi và cách cập nhật

Thông báo của MikroTik nêu các bản RouterOS có bản sửa. Trước khi cập nhật, hãy sao lưu cấu hình và sắp xếp thời điểm có thể mất kết nối trong thời gian ngắn. Với CVE-2026-67279, các mốc sửa là:

Nhánh RouterOS	Mốc sửa CVE-2026-67279	Điểm cần xử lý
6.x Long-term	6.49.21	Cập nhật lên 6.49.21 hoặc bản mới hơn
7.x Long-term	7.23.4	Nếu đang ở 7.23.4, xem xét nâng lên 7.23.6
7.x Stable	7.24.2	Nếu đang ở 7.24.2, xem xét nâng lên 7.24.3

MikroTik cho biết bản sửa của CVE-2026-67278 trong 7.24.2 và 7.23.4 chưa hoàn chỉnh. Thiết bị đã nâng lên một trong hai bản này cần được cập nhật tiếp lên 7.23.6 Long-term, 7.24.3 Stable hoặc bản mới hơn. Đây là yêu cầu liên quan đến CVE khác trong cùng đợt, không thay đổi mốc sửa của CVE-2026-67279.

Cần kiểm tra gì sau khi cập nhật

Trước hết, xem Log để tìm trạng thái Flagged. Tiếp theo, rà soát người dùng, script và cấu hình không nhận ra; kiểm tra SSH và WebFig không mở cho mạng không tin cậy; cuối cùng xem lại tài khoản quản trị và quy tắc truy cập từ xa. Tài liệu RouterOS giải thích trạng thái Flagged và cách thiết bị giới hạn quyền truy cập để bảo vệ mạng.

Nếu thiết bị bị Flagged, không nên xóa dấu hiệu rồi tiếp tục vận hành. Hãy giả định cấu hình đã bị thay đổi trái phép, giữ lại log, kiểm tra toàn bộ thiết lập, đổi mật khẩu quản trị và nâng lên bản RouterOS mới nhất trước khi khôi phục dịch vụ. Ngay cả khi không có trạng thái Flagged, MikroTik vẫn khuyến nghị kiểm tra các script, tài khoản và cấu hình lạ sau cập nhật.

Tại Việt Nam thì sao

Ở Việt Nam, MikroTik thường xuất hiện trong mạng gia đình, cửa hàng, văn phòng nhỏ, trường học và hệ thống do một đơn vị kỹ thuật bên ngoài lắp đặt. Vị trí của thiết bị không làm thay đổi điều kiện kỹ thuật của CVE-2026-67279: thông tin quyết định vẫn là model, phiên bản RouterOS và khả năng tiếp cận cổng SSH. Vì vậy, người quản trị tại Việt Nam nên bắt đầu bằng danh sách tài sản, hồ sơ bàn giao hoặc giao diện của từng thiết bị, thay vì suy đoán từ tên Wi-Fi.

Một hồ sơ kiểm kê hữu ích nên có model đầy đủ, chuỗi phiên bản, địa chỉ quản trị, mạng đang kết nối, người phụ trách và thời điểm kiểm tra. Nếu doanh nghiệp thuê nhà cung cấp quản trị mạng, hợp đồng hoặc biên bản bàn giao nên nói rõ bên nào theo dõi cảnh báo của MikroTik, bên nào sao lưu cấu hình, bên nào thực hiện cập nhật và bên nào xác nhận kết quả. Không nên mở SSH hoặc WebFig ra Internet chỉ để nhà cung cấp hỗ trợ từ xa; hãy yêu cầu họ mô tả đường truy cập, địa chỉ nguồn được phép và cách thu hồi quyền sau khi xử lý.

Về nguồn thông tin, quản trị viên ở Việt Nam nên lấy mốc phiên bản từ trang hỗ trợ chính thức của MikroTik, sau đó đối chiếu với bản ghi của NVD và dữ liệu CISA. Các trang này chủ yếu bằng tiếng Anh, nhưng mã CVE, tên nhánh RouterOS và số phiên bản là các khóa tra cứu không nên dịch. Không tải firmware từ diễn đàn, tệp gửi qua nhóm chat hoặc liên kết rút gọn. Nếu đơn vị thuê dịch vụ không cung cấp được nguồn tải chính thức, hãy yêu cầu họ gửi URL và giữ lại URL đó trong biên bản.

Luật An toàn thông tin mạng và các quy định về bảo đảm an toàn hệ thống thông tin tại Việt Nam không tạo ra một bản RouterOS riêng cho MikroTik. Chúng đặt vấn đề trách nhiệm bảo vệ hệ thống trong bối cảnh pháp lý Việt Nam, còn bản sửa kỹ thuật vẫn phải lấy từ nhà sản xuất. Cổng Thông tin điện tử Chính phủ Việt Nam đăng Luật số 86/2015/QH13 về An toàn thông tin mạng; khi cần xác định nghĩa vụ áp dụng cho một hệ thống cụ thể, doanh nghiệp nên đọc văn bản hiện hành và hỏi bộ phận pháp chế hoặc đơn vị phụ trách an toàn thông tin.

Đối với mạng của trường học, cửa hàng hoặc văn phòng nhỏ, bước thực tế là xác định ai giữ mật khẩu quản trị, thiết bị có còn được hỗ trợ hay không và dữ liệu log được lưu ở đâu. Nếu phát hiện phiên bản cũ, hãy sao lưu cấu hình, thông báo thời gian gián đoạn, cập nhật theo hướng dẫn của MikroTik rồi chụp lại phiên bản sau cập nhật. Nếu thấy tài khoản lạ, script lạ hoặc trạng thái Flagged, không chỉ khởi động lại thiết bị; cần giữ bằng chứng và chuyển sự việc theo quy trình ứng phó sự cố của đơn vị.

Tính đến thời điểm bài viết được thực hiện, chúng tôi chưa tìm thấy văn bản chính thức của cơ quan chức năng Việt Nam đưa ra số liệu so sánh cho số thiết bị trong nước bị khai thác CVE-2026-67279 hoặc một thời hạn riêng cho các model MikroTik. Không có số liệu này không có nghĩa là thiết bị tại Việt Nam không bị ảnh hưởng. Người quản trị nên ghi nhận kết quả từ chính tài sản của mình và phân biệt rõ nguồn kỹ thuật của MikroTik với quy định áp dụng tại Việt Nam.

Giới hạn của thông tin hiện có

CVE-2026-67279 có mốc sửa rõ ràng, nhưng trạng thái an toàn của một thiết bị không thể kết luận chỉ từ phiên bản. Cấu hình SSH, WebFig, tài khoản, script, log và đường đi từ mạng bên ngoài đều cần được xem xét. EPSS 1,0% là dự báo của mô hình cho 30 ngày, không cho biết một bộ định tuyến cụ thể đã bị xâm nhập.

NAS có cần cập nhật RouterOS không?
NAS thường không chạy RouterOS. Hãy kiểm tra bộ định tuyến MikroTik đứng trước NAS, sau đó xem thông báo của nhà sản xuất NAS về hệ điều hành và phần mềm của chính thiết bị đó.

RouterOS 7.24.2 có đủ cho CVE-2026-67279 không?
NVD liệt kê 7.24.2 là mốc sửa của CVE-2026-67279. Tuy nhiên, MikroTik cho biết CVE-2026-67278 được sửa chưa hoàn chỉnh trong 7.24.2, nên thiết bị nên được nâng lên 7.24.3 hoặc bản mới hơn.

Thấy trạng thái Flagged có nên xóa ngay không?
Không. Tài liệu MikroTik yêu cầu kiểm tra cấu hình, hoàn tất rà soát, đổi mật khẩu và cập nhật RouterOS trước khi xử lý tiếp trạng thái này.