🛡️ Network: Автоматическая чистка неактивных пиров WireGuard на MikroTik

WireGuard шикарен, но у него есть особенность: он работает без классических сессий. Из-за этого сложно сходу понять, жив ли пир (клиент) или ключ давно скомпрометирован и валяется без дела. Если у вас подняты десятки туннелей, нужен скрипт, который будет отслеживать активность.

Давайте напишем код для RouterOS, который проверяет время последнего рукопожатия и выключает пир, если его не было слишком долго.

Код для RouterOS (добавляем в System Scripts и ставим в Scheduler):

:local maxIdleDays 30;
/interface wireguard peers
:foreach peer in=[find] do={
:local lastHandshake [get $peer last-handshake];
:if ([:len $lastHandshake] > 0) do={
:local idleTime ([/system clock get time] - $lastHandshake);
:if ($idleTime > "30d 00:00:00") do={
disable $peer;
:log warning ("Отключен неактивный WireGuard пир");
}
}
}

Для жесточайшей гигиены периметра. Неиспользуемые доступы — главная дыра в безопасности. Если подрядчик уволился, а вы забыли закрыть доступ, этот скрипт подстрахует вашу сеть.

#mikrotik #routeros #wireguard #networking #security #admin_future

🔥 Alert: MikroTrik — обход аутентификации SSH в RouterOS. Уже эксплуатируется, уже в CISA KEV.

Коллеги, пятница. Начинаем с того, что надо проверить до выходных.

ЧТО ПРОИЗОШЛО:
CVE-2026-67276 (CVSS 9.2) — обход аутентификации SSH. По данным исследователей, RouterOS сверяет только модуль RSA-ключа, а не весь ключ.
CVE-2026-86060 (CVSS 9.2) — повышение привилегий через специально сформированное имя пользователя в SSH, вплоть до полного админа.
CVE-2026-67277 (CVSS 8.8) — утечка памяти ядра и DoS без аутентификации.
Уязвимости нашёл CERT Polska. Эксплуатация в дикой природе идёт как минимум со 2 сентября.

КОГО КАСАЕТСЯ:
Всех, у кого SSH на MikroTik доступен из недоверенных сетей. Дефолтный firewall такой доступ закрывает. Но «открыл 22 порт для удалёнки провайдера/подрядчика» — классика малого бизнеса.

ИСПРАВЛЕННЫЕ ВЕРСИИ:
v6 → 6.49.21+
v7 LT → 7.23.5 (в 7.23.4 фикс есть, но исследователи сообщают о регрессии IPv6)
v7 stable → 7.24.2+
v7 dev → 7.25beta3+

# 1. Версия и открыт ли SSH наружу
/system/resource/print
/ip/service/print where name=ssh

# 2. Ограничить SSH доверенными адресами (пример)
/ip/service/set ssh address=10.0.0.0/8,192.168.0.0/16

# 3. Признаки компрометации
/log/print where message~"user -2"
/user/print
/system/script/print
/system/scheduler/print
/system/device-mode/print

В логах ищем: login failure for user -2 и user <name> added by ssh:-2@<ip>. Подозрительны неизвестные учётки (в отчётах фигурирует ops), скрипты и задания в планировщике. IP, замеченные в атаках: 82.192.72.4, 103.102.31.18.

Важно: обновление закрывает дыру, но не вычищает то, что атакующий уже оставил. Если устройство было скомпрометировано — сначала обновление, потом ревизия пользователей, скриптов, scheduler и firewall. Надёжнее — netinstall и конфиг из известного бэкапа.

Итог: обновиться, закрыть SSH от интернета, управлять через WireGuard, проверить логи. Сегодня, а не в понедельник.

#alert #mikrotik #routeros #cve #security #sysadmin #admin_future

🔥 Alert: MikroTik, часть 2 — в KEV новая CVE, а «исправленные» версии из прошлого поста уже недостаточны.

Коллеги, воскресенье, но к MikroTik придётся вернуться. За неделю картина заметно расширилась.

ЧТО НОВОГО:
CVE-2026-67279 — 25 сентября добавлена в CISA KEV.
SSH переходит в рабочий режим после запрошенного клиентом rekey, хотя аутентификации не было. Результат: без пароля можно создавать файлы и читать конфигурацию. В связке с CVE-2026-86060 это полный контроль над роутером.
CVE-2026-67278 — RouterOS принимает некорректные RSA-подписи в TLS и SSH. Сертификат можно подделать без закрытого ключа и выдать себя за роутер.
⚠️ Уязвимы 7.23.5 и 7.24.2 — именно те версии, которые я называл безопасными 25 сентября.
CVE-2026-67281 — WebFig, путь /jsproxy: чтение файлов без аутентификации, вплоть до учётных данных. Значит, проблема не только в SSH, но и в веб-интерфейсе.
CVE-2026-67277 — btest-сервер принимает соединения до аутентификации: утечка памяти ядра и DoS.

ВЕРСИИ (по CERT Polska):
v7 LT → 7.23.6+
v7 stable → 7.24.3+
v6 → 6.49.21+ (67278 касается только 7.x)

# Версия и что торчит наружу
/system/resource/print
/ip/service/print
/tool/bandwidth-server/print

# Закрываем лишнее
/ip/service/disable telnet,ftp,www,api
/ip/service/set ssh address=<доверенные_подсети>
/ip/service/set www-ssl address=<доверенные_подсети>
/tool/bandwidth-server/set enabled=no

# Обновление
/system/package/update/check-for-updates
/system/package/update/install

ИНТЕРПРЕТАЦИЯ (моя):
Шесть CVE за три недели в одних и тех же подсистемах (SSH, TLS, WebFig) — это не «баг, который закрыли», а аудит кода, который ещё идёт. Стоит ждать новых записей. Единственная мера, которая работает независимо от следующей CVE, — management-интерфейсы не видны из интернета вообще: только через WireGuard.

Итог: если обновлялись до 7.23.5 или 7.24.2 — обновляйтесь ещё раз. Если WebFig открыт наружу — проверяйте устройство на компрометацию так же, как в первой части.

#alert #mikrotik #routeros #cve #kev #sysadmin #admin_future