Administratorzy MikroTik RouterOS są wzywani do natychmiastowej aktualizacji po tym, jak CERT Polska potwierdził, że dwie luki w zabezpieczeniach są aktywnie wykorzystywane przeciwko urządzeniom wystawionym do internetu.
Luki, oznaczone jako CVE-2026-67276 i CVE-2026-86060, można połączyć w łańcuch, aby obejść uwierzytelnianie SSH i podnieść uprawnienia do pełnego dostępu administracyjnego.
CERT Polska nazwał ten łańcuch ataku „MikroTrick” i potwierdził, że atakujący już go używają przeciwko urządzeniom RouterOS, których usługa SSH jest dostępna z sieci publicznych.
Co się stało?
5 września 2026 r. CERT Polska ujawnił sześć luk w zabezpieczeniach dotyczących różnych części MikroTik RouterOS.
Dwie z nich są szczególnie poważne:
- CVE-2026-67276 — obejście uwierzytelniania SSH, CVSS 9.2
- CVE-2026-86060 — podniesienie uprawnień przez SSH, CVSS 9.2
Po połączeniu te luki mogą pozwolić atakującemu uzyskać w pełni uprzywilejowaną sesję RouterOS bez legalnego uwierzytelnienia, o ile usługa SSH urządzenia jest osiągalna z internetu.
CERT Polska potwierdził, że nie jest to tylko teoretyczny atak. Jego badacze zaobserwowali prawdziwe ataki na wystawione urządzenia RouterOS i potwierdzili, że wydane poprawki uniemożliwiają zaobserwowane wykorzystanie luk.
Jak działa atak?
Pierwsza luka dotyczy sposobu, w jaki RouterOS weryfikuje klucze publiczne RSA podczas uwierzytelniania SSH.
CVE-2026-67276 oznacza, że RouterOS nie weryfikował prawidłowo pełnego klucza publicznego RSA powiązanego z autoryzowanym kontem. W pewnych warunkach atakujący znający nazwę użytkownika i publiczny moduł RSA mógł skonstruować inny klucz i uwierzytelnić się bez posiadania legalnego klucza prywatnego.
Druga luka, CVE-2026-86060, dotyczy obsługi specjalnie spreparowanych nazw użytkowników podczas logowania przez SSH.
Atakujący może dzięki tej wadzie manipulować kontekstem zasad RouterOS i podnieść uprawnienia powstałej sesji do pełnych uprawnień administracyjnych.
To właśnie połączenie czyni sytuację szczególnie niebezpieczną.
Zamiast uzyskać dostęp do ograniczonego konta, atakujący może potencjalnie przejść bezpośrednio do pełnej kontroli nad routerem.
Dlaczego pełny dostęp do routera ma znaczenie
Przejęty router to znacznie więcej niż kolejny zainfekowany punkt końcowy.
Atakujący z kontrolą administracyjną może potencjalnie zmieniać konfigurację sieci, tworzyć konta, modyfikować reguły zapory, zmieniać routing, manipulować ustawieniami związanymi z DNS lub utrwalić swoją obecność za pomocą funkcji RouterOS.
CERT Polska zaleca w szczególności sprawdzenie, czy nie pojawiły się nieoczekiwane:
- Konta użytkowników
- Skrypty
- Zadania harmonogramu
- Konfiguracje proxy
- Tunele
- Inne niewyjaśnione zmiany konfiguracji
Jest to ważne, ponieważ przejęcie routera może stać się incydentem bezpieczeństwa na poziomie całej sieci, potencjalnie obejmującym systemy, które nigdy nie były bezpośrednio wystawione do internetu.
Atakujący już wykorzystują wystawione urządzenia
CERT Polska twierdzi, że potwierdził wykorzystanie luk przeciwko urządzeniom RouterOS z SSH dostępnym z sieci publicznych.
Zaobserwowane udane ataki, w tym utworzenie wysoce uprzywilejowanego konta o nazwie „ops”, pochodziły z adresu IP, który CERT Polska śledził co najmniej od 2 września. Inny adres IP został zaobserwowany podczas prób wykorzystania łańcucha luk.
CERT Polska zidentyfikował też charakterystyczne wpisy w dziennikach związane z zaobserwowanym wykorzystaniem, w tym:
login failure for user -2 from <ip> via ssh
oraz
user <name> added by ssh:-2@<ip>
Obecność tych wskaźników należy traktować poważnie i natychmiast zbadać.
Jednak ich brak nie dowodzi, że urządzenie nigdy nie zostało przejęte.
MikroTik wydał poprawki
MikroTik wydał poprawione wersje RouterOS we wszystkich kanałach wydań.
Omawiane luki są naprawione w:
- RouterOS 7.24.2
- RouterOS 7.23.4
- RouterOS 6.49.21
- RouterOS 7.25 beta 3
Sam MikroTik opisuje aktualizację jako ważną aktualizację bezpieczeństwa i zaleca uaktualnienie.
Dlatego administratorzy nie powinni czekać na dogodne okno serwisowe, jeśli podatny router jest wystawiony do internetu.
Co powinni zrobić administratorzy?
✅ Natychmiast zaktualizuj RouterOS
Uaktualnij podatne urządzenia do poprawionej wersji.
W przypadku obecnych stabilnych gałęzi oznacza to co najmniej 7.24.2, 7.23.4 lub 6.49.21, w zależności od używanej gałęzi RouterOS.
✅ Sprawdź, czy SSH jest wystawiony
MikroTik zaznacza, że jego konfiguracja domyślna blokuje SSH z internetu, ale administratorzy mogli ręcznie włączyć dostęp zewnętrzny.
SSH nie powinien być wystawiony do niezaufanych sieci.
Tam, gdzie wymagana jest administracja zdalna, MikroTik zaleca ograniczenie dostępu do zaufanych adresów lub użycie VPN, takiego jak WireGuard, zamiast wystawiania portów zarządzania bezpośrednio do internetu.
✅ Szukaj oznak przejęcia
Po aktualizacji sprawdź urządzenie pod kątem:
- Nieznanych użytkowników
- Konta „ops”
- Nieznanych skryptów
- Nieoczekiwanych zaplanowanych zadań
- Nowych ustawień proxy
- Nieoczekiwanych tuneli
- Niewyjaśnionych zmian konfiguracji
- Odpowiednich wpisów w dziennikach SSH
RouterOS zawiera teraz mechanizm „Flagged”, który potrafi wskazać niektóre znane oznaki nieautoryzowanej modyfikacji.
Jest jednak ważne ostrzeżenie: urządzenia bez statusu Flagged nie można automatycznie uznać za czyste. CERT Polska wyraźnie zaznacza, że mechanizm wykrywa tylko wybrane ślady przejęcia.
Co zrobić, jeśli router mógł już zostać przejęty?
Tutaj administratorzy muszą zachować szczególną ostrożność.
Jeśli są oznaki, że urządzenie zostało przejęte, CERT Polska zaleca jego izolację oraz zabezpieczenie odpowiednich dzienników i konfiguracji przed wykonaniem resetu.
Następnie urządzenie należy przywrócić do ustawień fabrycznych i odbudować z zaufanej konfiguracji.
Administratorzy powinni też zmienić hasła, klucze i inne sekrety używane na potencjalnie przejętym urządzeniu.
Potencjalnie przejętej kopii zapasowej konfiguracji nie należy po prostu przywracać bez weryfikacji, ponieważ może to ponownie wprowadzić złośliwe zmiany lub mechanizmy utrwalania.
Problem wykracza poza te dwie luki CVE
CVE-2026-67276 i CVE-2026-86060 nie są jedynymi lukami RouterOS ujawnionymi przez CERT Polska.
Badanie wykazało sześć luk w zabezpieczeniach dotyczących obszarów takich jak:
- SSH
- Usługa bandwidth-test
- Obsługa certyfikatów X.509
- WebFig
- Obsługa plików w RouterOS
Na przykład CVE-2026-67277, oceniona na CVSS 8.8, może pozwolić nieuwierzytelnionym atakującym doprowadzić usługę bandwidth-test do niewłaściwego stanu i potencjalnie spowodować ujawnienie pamięci lub odmowę usługi.
Dlatego aktualizacja całej platformy jest ważniejsza niż załatanie tylko dwóch aktualnie aktywnie wykorzystywanych luk.
Ostrzeżenie dla organizacji
Routery MikroTik są często wdrażane w oddziałach, małych firmach, zakładach przemysłowych, lokalizacjach zdalnych i na brzegach sieci.
Ponieważ urządzenia te znajdują się na granicy między sieciami wewnętrznymi a internetem, ich przejęcie może mieć konsekwencje wykraczające poza sam router.
Organizacje powinny więc traktować wystawiony router MikroTik jako część swojego obwodu bezpieczeństwa, a nie tylko infrastrukturę sieciową.
Przejęty router może dać atakującemu możliwość:
utrwalenia obecności → manipulowania ruchem sieciowym → dotarcia do systemów wewnętrznych → monitorowania lub przekierowywania komunikacji → utrzymania dostępu
Dokładne konsekwencje zależą od konfiguracji i architektury sieci, ale potencjalny wpływ jest znaczący.
Co organizacje powinny sprawdzić już dziś
Dla zespołów bezpieczeństwa i infrastruktury praktyczna reakcja powinna obejmować:
Inwentaryzacja
Zidentyfikuj wszystkie urządzenia MikroTik i ich wersje RouterOS.
Ekspozycja
Ustal, które urządzenia mają SSH lub inne usługi zarządzania dostępne z internetu.
Łatanie
Uaktualnij podatne urządzenia do poprawionej wersji RouterOS.
Wykrywanie
Przejrzyj dzienniki i konfiguracje pod kątem niewyjaśnionych zmian.
Tożsamość
Sprawdź wszystkie konta RouterOS, zwłaszcza uprzywilejowane.
Utrwalanie obecności
Przejrzyj skrypty, zadania harmonogramu, tunele i konfigurację proxy.
Bezpieczeństwo sieci
Ogranicz dostęp zarządzający do zaufanych sieci lub infrastruktury VPN.
Reagowanie na incydenty
Jeśli podejrzewasz przejęcie, zabezpiecz dowody przed zresetowaniem urządzenia.
Podsumowanie
Sytuacja z MikroTik RouterOS jest dobrym przykładem tego, dlaczego infrastruktura sieciowa wystawiona do internetu wymaga takiego samego poziomu zarządzania podatnościami jak serwery, aplikacje i punkty końcowe.
Same luki są poważne, ale najważniejszym czynnikiem jest potwierdzenie, że łańcuch ataku jest już wykorzystywany w realnych atakach.
Administratorzy nie powinni traktować tego jako luki do załatania w czasie następnego rutynowego okna serwisowego. Wystawione do internetu urządzenia RouterOS należy niezwłocznie ocenić i zaktualizować.
Infrastruktura sieciowa jest częścią powierzchni ataku. Gdy luki w uwierzytelnianiu są aktywnie wykorzystywane, załatanie routera to dopiero pierwszy krok — administratorzy muszą też sprawdzić, czy urządzenie nie zostało już przejęte.
