Роутеры MikroTik с открытым SSH взламывают без пароля через цепочку MikroTrick
Изображение: OpenAI
Две уязвимости RouterOS, которые CERT Polska объединила под названием MikroTrick, позволяют без пароля, ключа и завершённой аутентификации получить полный административный доступ к роутеру MikroTik, если его SSH доступен из интернета. Цепочку использовали ещё до выхода исправлений 3 сентября, поэтому владельцам таких устройств мало обновиться: нужно проверить, не взломан ли роутер, сообщает The Hacker News.
Первая уязвимость, CVE-2026-67279, ломает порядок работы SSH: если клиент запускает повторное согласование ключей во время аутентификации, RouterOS после него сразу переходит к выполнению команд, так и не проверив пользователя. Вторая, CVE-2026-86060, находится в программе входа /nova/bin/login, которая получает имя пользователя без проверки. Атакующий передаёт вместо имени «-2», программа принимает это за параметр и читает имя и уровень привилегий из терминала сессии, куда он заранее записал нужные значения, после чего открывается консоль с полными правами.
Исправления вошли в RouterOS 6.49.21, 7.23.4 и 7.24.2. По данным CERT Polska, журналы со следами атаки появились на форуме MikroTik уже 2 сентября, за день до обновлений, а 10 сентября американское агентство CISA внесло CVE-2026-86060 в каталог эксплуатируемых уязвимостей. На части устройств злоумышленники создали пользователя ops с полными правами, на других после создания диагностических файлов данные уходили на их IP-адрес, что указывает на кражу конфигурации. Сколько роутеров взломано, неизвестно.
Атака возможна, только если SSH доступен злоумышленнику. По словам MikroTik, стандартная домашняя конфигурация не открывает SSH в интернет, но риск выше у тех, кто менял правила межсетевого экрана или управляет устройствами по SSH из недоверенных сетей.
Обновление закрывает уязвимости, но не отменяет изменений, внесённых до него. После обновления стоит выполнить /system/device-mode/print и проверить статус Flagged, хотя, как предупреждают CERT Polska и MikroTik, этот механизм ловит лишь часть следов и отсутствие отметки не доказывает, что устройство чистое. CERT Polska опубликовала признаки взлома, замеченные в атаках:
- имя пользователя -2 в журналах входа по SSH;
- учётная запись ops в группе с полными привилегиями;
- IP-адрес 82.192.72.4, замеченный в успешных атаках;
- IP-адрес 103.102.31.18, использованный при попытках эксплуатации.
Проверить также нужно неизвестных пользователей, скрипты, задания планировщика, туннели, прокси, неожиданные диагностические файлы .rif и необъяснимую активность fetch. Если признаки найдены, устройство следует изолировать, сохранить журналы и конфигурацию, сбросить к заводским настройкам и заново настроить с доверенной конфигурацией, сменив все пароли, ключи и другие учётные данные. Восстанавливать резервную копию со взломанного роутера нельзя.
