路由器不用登入就能被攻擊：先把版本更新對，也照顧一下半夜爬起來檢查設備的你

先說結論：這件事不需要恐慌，但有幾個明確的訊號值得你花十分鐘處理。這是 2026 年 9 月底到 10 月初的資安新聞，事件日期可以回推到 9 月 25 日，美國 CISA（網路安全與基礎設施安全局）在這一天把 MikroTik RouterOS 的漏洞 CVE-2026-67279 列入「已知遭利用漏洞目錄」，代表它已經被實際用於攻擊，而不是理論上的風險。本站以回顧角度整理，並把重點放在你家裡或小辦公室可以做的事。

這個漏洞可怕在哪，用白話說

CVE-2026-67279 出現在 RouterOS 的 SSH 連線流程。SSH 是一種遠端加密登入的方式，通常管理者用它從別臺電腦連進路由器做設定。這次問題在於，還沒完成身分驗證的連線，就有機會進入不該進入的流程，讓攻擊者不需要帳號、不需要密碼、也不需要你點開任何可疑連結，就能從網路上直接發動攻擊。

整理來源提供的判斷點，有三個：可遠端利用、免帳號登入、免受害者操作。這也是為什麼它被列入「已遭利用」名單，目前已有勒索軟體攻擊活動利用這個漏洞。勒索軟體的意思是，攻擊者把你設備或後方儲存裝置裡的檔案加密，再要求付錢換回來。

不過嚴重度要看數字。來源列出的 CVSS 評分是 6.5 分（滿分 10），屬於中度；EPSS 被利用機率評分為 1.0%。這些指標的意義是「優先處理順序的參考」，而不是「你家明天就會被攻擊」的預言。MikroTik 官方也表示，一般家用設備的預設設定通常不在立即風險範圍，但仍建議所有使用者升級。

該更新到哪個版本

這是整件事最實際的部分。根據 MikroTik 官方公告，三條版本的最低修補門檻如下：6.x 分支要更新到 6.49.21（長期版）；7.0 到 7.23.3 要更新到 7.23.4（長期版）；7.24.0 到 7.24.1 要更新到 7.24.2（穩定版）。低於這些門檻的版本，建議更新到同一分支的修補版，若官方提供同分支更新的版本，選較新的那個。

操作上，用 WinBox 或 WebFig 登入設備，到「System > Packages」的「Check for Updates」，先記下目前的版本與分支再決定。更新前備份設定，因為更新會讓設備重新啟動，家裡的網路、遠端工作和 NAS 服務會中斷一下，挑個沒人在視訊會議的時段做比較從容。

如果你暫時不能更新，來源引用的 CISA 作法是：先移除 SSH 對不受信任網路的曝露，把管理服務限縮到可信任的 IP，或放到 VPN 後方。更新完成後，查看 Log 有沒有出現 Flagged 字樣，再檢查有沒有不認識的使用者、腳本、排程或設定。發現異常時保留紀錄，把路由器、NAS 和其他設備的登入紀錄交叉比對。這類資安新聞怎麼分辨「已證實的事實」和「社羣的猜測」，可以參考我們之前聊過的看訂閱服務爭議時的判斷力照顧，方法其實是相通的。

家裡沒有 MikroTik，也要看嗎

如果你的路由器是別的品牌，這則新聞對你的直接影響有限。但它提醒了一件很多人忽略的事：路由器也是需要更新的設備。它不像手機會自己跳出更新通知，很多人裝機那天設定好之後，就再也沒登入過管理介面。

趁這次新聞，你可以順手做兩件事。第一，確認家中路由器的韌體是否還在接收更新，太老舊的機型考慮汰換。第二，檢查管理介面有沒有開放到網際網路上，一般家用情境，管理功能只需要在內部網路使用。對於小型辦公室，來源特別提醒，直接連網的路由器、遠端管理介面，以及路由器後方的 NAS，都應該放在同一份盤點表裡一起看，因為攻擊者拿下路由器後，常把目標轉向後方存檔案的設備。

半夜救火之前，也照顧一下自己

資安事件有個不太被談論的副作用：焦慮和熬夜。收到「你的設備有漏洞、已被利用」的消息，很多人會在睡前或半夜爬起來檢查設定，一路弄到凌晨。如果你發現自己因為一則資安新聞反覆刷訊息、睡不著，這和面對其他壞消息時的反應其實很像，我們在一直刷戰況更新時的身心照顧裡聊過的幾個方法也適用：設定一個明確的處理時段，做完檢查清單就停手，把剩下的疑慮留給隔天。

尤其是更新會讓網路中斷、設備重開，如果你已經很累，硬要在深夜操作，出錯的機率反而更高。給自己十分鐘確認版本，若低於門檻就排進明天的待辦，這樣就夠了。

最後再整理一次重點：版本低於 6.49.21、7.23.4 或 7.24.2 的使用者安排更新；暫時無法更新的，先收掉 SSH 對外的曝露；更新後檢查日誌與設定。家用預設設定風險較低，不需恐慌，把該做的做完，然後好好睡覺。