Все версии MikroTik RouterOS до 7.24.5 содержат уязвимость. Исправление появилось 29 сентября 2026 года в релизе 7.24.5. Речь идёт о прошивке, на которой работают маршрутизаторы, коммутаторы и точки доступа MikroTik. Поэтому под угрозой оказываются и домашние устройства, и парк провайдеров, и корпоративные сети, где такое оборудование нередко стоит на границе с интернетом.
DHCP snooping и уязвимость в RouterOS
Затронутые версии и устройства
Уязвимы все сборки до 7.24.5. Безопасной считается только 7.24.5 и более поздние выпуски. Идентификатора CVE в описании релиза нет, оценки по CVSS тоже. MikroTik ограничился перечнем изменений, поэтому о сценариях эксплуатации приходится судить косвенно. Отсюда и главная практическая сложность: администратору не сообщают, насколько просто воспользоваться уязвимостью и что именно получит злоумышленник.
RouterOS ставится на устройства самого разного класса. Это и компактные точки доступа для квартиры, и маршрутизаторы для офиса, и коммутаторы, которые агрегируют трафик целого этажа или площадки. Один и тот же набор функций, включая работу с мостами и сетевой адресацией, доступен почти на всей линейке. Значит, уязвимость не сводится к одной модели или одной серии - она касается прошивки как таковой.
Чем важна таблица привязок
Самая заметная правка в 7.24.5 касается таблицы привязок IP для DHCP snooping. Этот механизм появился в ветке 7.24, а в новой версии его отключили. Почему так поступили, вендор не поясняет.
DHCP snooping работает на уровне моста и отсеивает ответы DHCP-серверов. Задача у него простая: не дать постороннему устройству в сети раздавать адреса, выдавать себя за шлюз или за сервер имён. Таблица привязок хранит соответствие между устройством и выданным ему адресом. На этой таблице держится вся проверка, и именно она стала источником проблемы.
Отключение таблицы снижает функциональность, зато убирает поверхность для атаки. Для администраторов это означает, что часть защиты на уровне моста теперь работает иначе. Если в сети полагались на привязки IP как на дополнительный барьер, рассчитывать на них в 7.24.5 не стоит. Впрочем, вендор явно счёл такой размен оправданным: стабильность и предсказуемое поведение устройства важнее дополнительной проверки.
Прочие изменения релиза
Остальные пункты списка изменений к безопасности отношения не имеют. В 7.24.5 поправили вывод консольной команды /system/identity/print, которая разбивалась на несколько строк, и восстановили запуск скриптов планировщика с датой и временем по умолчанию. Обе ошибки пришли из более ранних сборок ветки 7.24.
На части точек доступа включили аппаратную разгрузку VLAN и улучшили стабильность проводного сегмента. Для LTE-модемов сгладили переключение режима MBIM. В OSPF исправили ситуацию, когда незаданные параметры шаблона интерфейса не применялись к самому интерфейсу. На части коммутаторов вернули возможность питания по Ethernet, которая пропадала после перезагрузки. Также обновили регуляторную информацию для Wi-Fi.
Подготовка к обновлению
Обновление до 7.24.5 закрывает уязвимость, и это единственный известный способ защиты. MikroTik отдельно просит подготовиться: перед установкой сохранить резервную копию и экспорт конфигурации на отдельный носитель; убедиться, что устройство не потеряет питание во время процесса; проверить, хватает ли свободного места под все пакеты RouterOS. Последний пункт часто упускают, а именно на нём обновление и срывается.
Устройства MikroTik давно входят в списки целей массовых сканирований, поскольку их много и они часто остаются без присмотра. В этой истории настораживает не масштаб исправления, а скудость сопроводительной информации. Когда вендор убирает целую таблицу, отвечавшую за проверку адресов, а подробностей не даёт, разумно исходить из худшего: считать устройство потенциально уязвимым до обновления и не откладывать установку 7.24.5.
Ссылки
- https://mikrotik.com/download/changelogs?channelFilter=stable&versionFilter=7.24.5
- https://forum.mikrotik.com/t/7-24-5-stable-is-released/273494
