Забота или гиперопека?

ГРЧЦ (Главный радиочастотный центр, структура РКН) направил российским операторам поручение: бороться с уязвимостями в RouterOS на своих сетях — и у абонентов заодно. Повод серьёзный: в начале сентября CERT Polska опубликовала сразу шесть уязвимостей в прошивках MikroTik, две из них критические.

Разберём по существу, потому что цифры тут не для красного словца.

CVE-2026-67276 — обход аутентификации по SSH. Причина банальна и оттого мерзка: неполная проверка открытых RSA-ключей. Зная имя пользователя и открытый модуль его ключа, злоумышленник может сконструировать другой ключ и войти в систему, не имея легитимного закрытого.

CVE-2026-86060 — повышение привилегий там же, по SSH: специально сформированное имя пользователя ломает обработку сессии, и на выходе — полные права администратора.

В связке это означает: пароль не нужен, ключ не нужен, консоль RouterOS — наша. Классическая композиция «одна дыра не смертельна, две — уже диагноз».

Третья, CVE-2026-67277, бьёт по службе bandwidth-test: чтение памяти ядра без аутентификации или удалённая перезагрузка роутера. Приятная деталь от CERT Polska — атаки оставляют характерный след в логах:

login failure for user -2 from "ip" via ssh
user "name" added by ssh:-2@"ip"

Если видите в логах пользователя -2 — это не глюк RouterOS, это к вам заходили.

По оценкам, в России около 100 тысяч MikroTik с уязвимыми версиями прошивки. Патчи производитель выпустил, они лежат на сайте, берутся бесплатно.

А теперь — собственно заголовок. Что предписано операторам: временно ограничить удалённый доступ к настройкам роутеров по отдельным портам, следить за трафиком абонентских устройств, предупреждать абонентов. А если абонент в течение недели не обновился — оператор должен ограничить ему трафик по отдельным портам. То есть интернет у вас, конечно, останется. «С ограничениями».

Сам по себе список мер почти правильный: закрыть доступ к админке с серых портов, обновить прошивку, смотреть логи. Я, например, свой домашний hAP ac2 обновлю на этой неделе, не дожидаясь писем от регулятора — это гигиена, а не подвиг.

Но соразмерность смущает. Обязанности обновлять абонентское оборудование у оператора нет (телеком-отрасль это прямо подтвердила, поручения ГРЧЦ — рекомендательные). А вот наказать трафиком не обновившегося — уже предлагается. Мой роутер — моё оборудование, моя зона ответственности и, если что, мой ущерб. Гиперопека, при которой «заботящийся» отбирает интернет у взрослого человека за просроченный патч, лечит не уязвимость, а отчётность.

Разница между заботой и гиперопекой простая: забота оставляет вам ответственность, гиперопека забирает её вместе с правами. Первые меры из списка ГРЧЦ — забота. Ограничение трафика абонента — уже второе.

Так что обновляйте RouterOS сами и смотрите свои логи. Тогда поводов за вас беспокоиться — и тем более ограничивать — просто не останется.