CERT Polska повідомила про активні атаки, у яких зловмисники поєднують дві вразливості MikroTik RouterOS. Кампанія отримала назву MikroTrick. Найвищий ризик мають вразливі роутери, чий SSH доступний із публічного інтернету: ланцюжок дає змогу обійти звичайну автентифікацію та отримати повний адміністративний контроль. Спочатку оновіть RouterOS і закрийте або обмежте SSH, а потім перевірте, чи не змінювали пристрій раніше.
Це не означає, що зламано кожен роутер MikroTik. Типова конфігурація RouterOS блокує небажаний доступ до керування з інтернету. Тому насамперед ідеться про пристрої, де адміністратор сам відкрив SSH або зробив його доступним іншим способом. Проте успішне оновлення не доводить, що попередній стан був чистим.
Які версії RouterOS потрібно оновити?
CERT Polska називає вразливі діапазони та перші версії з виправленням. Після RouterOS 7.23.4 компанія MikroTik випустила 7.23.5 через регресію IPv6, тому користувачам long-term каналу варто встановити актуальну версію 7.23.5, а не зупинятися на 7.23.4.
| Встановлена гілка | Мінімальна практична дія |
|---|---|
| RouterOS 7.24–7.24.1 | Оновити до 7.24.2 або новішої |
| RouterOS 7.0.0–7.23.3 | Оновити до актуальної long-term версії 7.23.5 або новішої |
| RouterOS 6.0.0–6.49.20 | Оновити до 6.49.21 або новішої |
| Тестові версії до 7.25beta3 | Оновити до 7.25beta3 або новішої |
Якщо старе обладнання вже не підтримує безпечну версію, приберіть його з ролі публічно доступного шлюзу та заплануйте заміну. Відсутність попередження не робить застарілу гілку безпечною.
Як працює ланцюжок MikroTrick
Аналіз CERT Polska від 22 вересня визначає MikroTrick як поєднання CVE-2026-67279 і CVE-2026-86060. Передчасне повторне узгодження SSH-ключів переводило RouterOS до обробки каналів ще до завершення автентифікації користувача. Потім процес входу довіряв керованій атакувальником масці привілеїв, перетворюючи неавтентифікований канал на адміністративну консоль. Помилка була в RouterOS, а не в самому шифруванні SSH.
CVE-2026-67276, проблема RSA-ключів із ранніх повідомлень, є окремою: вона потребує відомого акаунта й модуля його відкритого ключа та надає привілеї цього акаунта.
Окрема вразливість CVE-2026-67277 стосується служби bandwidth-test: вона може розкрити фрагменти пам’яті або спричинити відмову в обслуговуванні. Її виправили в тих самих лінійках версій, але підтверджені атаки із захопленням роутера пов’язані з CVE-2026-67279 і CVE-2026-86060.
Повний контроль над роутером небезпечний, бо він є межею довіри для всієї мережі. Зловмисник може змінити облікові записи, правила фаєрвола, скрипти, завдання, DNS, проксі або тунелі. Це перелік того, що адміністратору слід перевірити, а не твердження, що кожен атакований пристрій використали в усі ці способи.
25 вересня: CISA внесла до KEV пропущений SSH-етап
CISA додала CVE-2026-67279 до каталогу відомих експлуатованих вразливостей 25 вересня 2026 року. Запис підтверджує, що неавтентифікований клієнт може відкрити канал сесії, а вразливість можна поєднати з CVE-2026-86060. Другу проблему внесли ще 10 вересня. Це датоване підтвердження експлуатації, а не доказ атаки на кожен доступний роутер.
Дедлайн виправлення 28 вересня стосувався вимог федеральної директиви для цього запису. Це не пільговий період для інших власників: публічний SSH на вразливій версії потребує швидкого оновлення й окремої перевірки ознак злому за наведеними нижче кроками. Рекомендації щодо оновлення та обмеження доступу залишаються актуальними для обох етапів.
Окремо перевірте доступність і ознаки злому
| Що ви виявили | Що це означає |
|---|---|
| SSH ніколи не був публічним, а фаєрвол лишався типовим | Безпосередній ризик нижчий, але виправлена версія все одно потрібна |
| SSH був публічним під час роботи вразливої версії | Вважайте пристрій доступним для атаки та збережіть логи й конфігурацію |
Flagged: yes, невідомий привілейований користувач або незрозумілі зміни | Розглядайте роутер як потенційно зламаний; одного оновлення недостатньо |
| Після оновлення немає очевидного попередження | Це не доказ чистого стану, адже RouterOS позначає лише вибрані підозрілі зміни |
Серед індикаторів із рекомендації CERT — критичний запис про помилку входу через SSH зі значенням -2, подія додавання користувача з таким маркером SSH-сесії та неочікуваний привілейований акаунт ops. Також перевірте користувачів, ключі, скрипти, завдання, SOCKS/HTTP-проксі, правила фаєрвола, DNS і тунелі. Не видаляйте дані до того, як зафіксуєте їх.
Що робити адміністраторам RouterOS
- Зафіксуйте поточний стан. Збережіть логи та експорт конфігурації в захищеному місці. Запишіть версію та перевірте, чи був SSH доступний з інтернету.
- Встановіть актуальну виправлену версію. Завантажуйте пакет із MikroTik і після перезапуску перевірте фактичну версію.
- Приберіть зайву доступність. Вимкніть публічний SSH, обмежте його довіреними IP-адресами або дозволяйте адміністрування лише через VPN. Перегляньте й інші служби керування.
- Перевірте пристрій. Подивіться стан Flagged командою
/system/device-mode/print, а також акаунти, ключі, скрипти, завдання, проксі, тунелі, DNS і фаєрвол. - Якщо є індикатори — відновлюйте рішуче. Ізолюйте роутер, збережіть докази, виконайте скидання до заводських налаштувань і зберіть конфігурацію вручну за перевіреним планом. Не відновлюйте весь старий конфіг без перевірки.
- Змініть секрети з чистого пристрою. Замініть паролі і SSH-ключі RouterOS, а також VPN, Wi-Fi, адміністративні й службові облікові дані, що зберігалися на роутері або проходили через нього.
Схожий ризик перетворення мережевого обладнання на чужу інфраструктуру показує операція ФБР проти роутерного ботнета QTFY. Але знешкодження чужої інфраструктури або оновлення прошивки не замінює перевірку конкретного пристрою.
Окреме дослідження BPFDoor і AVERAT на поштових шлюзах показує ще одну причину перевіряти активний доступ до мережевих пристроїв: шкідливе ПЗ може видалити свої файли, залишивши живі процеси та з’єднання керування. Цей Linux-ланцюжок відрізняється від описаних тут вразливостей RouterOS.
Оновіть, але не зупиняйтеся на цьому
Короткий висновок: MikroTik із публічно доступним SSH і вразливою версією RouterOS потребує негайної уваги. Оновлення закриває відомий шлях атаки. Перевірка доступності показує, чи міг цей шлях працювати. Аудит конфігурації та логів допомагає вирішити, чи потрібні повне відновлення і заміна секретів. Це три різні питання, і лише перше з них не гарантує чистого стану.
Джерела
- CERT Polska. Активна експлуатація вразливостей MikroTik RouterOS. Переглянуто 6 жовтня 2026 року.
- CERT Polska. MikroTrick: технічний аналіз і процес розкриття вразливостей. 22 вересня 2026 року.
- MikroTik. Вразливість за вересень 2026 року. Переглянуто 6 жовтня 2026 року.
- MikroTik. Журнал змін RouterOS. Переглянуто 6 жовтня 2026 року.
- CISA. Каталог відомих експлуатованих вразливостей — CVE-2026-67279. Додано 25 вересня 2026 року; переглянуто 5 жовтня 2026 року.
