Hackeri zneužívajú nové zraniteľnosti MikroTik RouterOS na ovládnutie routerov

Hackeri zneužívajú reťazec dvoch nedávno zverejnených zraniteľností v routeroch MikroTik na ovládnutie zariadení so službami SSH vystavenými internetu. Jednou z bezpečnostných chýb, evidovanou ako CVE-2026-67276, je obídenie autentifikácie SSH v MikroTik RouterOS spôsobené neúplnou validáciou verejných kľúčov RSA. Útočník, ktorý pozná používateľské meno a verejný modulus kľúča daného používateľa, ho môže zneužiť vytvorením iného kľúča a prihlásením sa bez legitímneho súkromného kľúča. Druhá bezpečnostná chyba je identifikovaná ako CVE-2026-86060. Ide o eskaláciu privilégií cez SSH v MikroTik RouterOS v dôsledku nesprávneho spracovania špeciálne vytvorených používateľských mien. Hackeri ju môžu využiť pomocou špeciálne vytvoreného používateľského mena na manipuláciu relácie SSH tak, aby útočník získal plné administrátorské oprávnenia. Obe zraniteľnosti objavila poľská agentúra CERT s pomocou GPT-5.5-cyber a GPT-5.6-sol a dostali hodnotenie kritickej závažnosti. Poľská agentúra nazvala reťazec exploitov „MikroTrick“ a varovala, že je už aktívne zneužívaný v praxi. „V posledných dňoch pozorujeme útoky na zariadenia RouterOS dostupné z internetu,“ varuje poľský CERT . „Získali sme potvrdenie, že útočníci zneužívajú túto kombináciu zraniteľností na úplné ovládnutie zariadení, ktorých služba SSH je dostupná z verejných sietí.“ Poľský CERT tiež upozornil na tretiu chybu, CVE-2026-67277, ktorá ovplyvňuje službu bandwidth-test v RouterOS a umožňuje neautentifikovaným útočníkom spôsobiť únik pamäte jadra alebo router na diaľku zhodiť/reštartovať. MikroTik opravil zraniteľnosti v RouterOS 7.25beta3, 7.24.2, 7.23.4 a 6.49.21, vydaných 3. septembra, a poľský CERT opravy overil. Vo svojom oznámení výrobca uvádza, že nie všetky konfigurácie sú ovplyvnené, ale nezverejnil žiadne podrobnosti, aby používatelia mali čas nainštalovať bezpečnostné aktualizácie. Aktualizácie pridávajú do routerov mechanizmus detekcie kompromitácie , ktorý pri štarte hľadá známe znaky neoprávnených zmien konfigurácie, deaktivuje škodlivé položky a zaznamená kritické varovanie. CERT však poznamenáva, že absencia značky indikujúcej kompromitáciu by sa nemala brať ako záruka, že router nebol kompromitovaný. CERT zverejnil nasledujúce indikátory kompromitácie (IoC): Záznamy v logoch: ‘login failure for user -2 from <ip> via ssh’ a ‘user <name> added by ssh:-2@<ip>’ Prítomnosť vysoko privilegovaného účtu ops 82.192.72.4 — spojená s potvrdenými úspešnými útokmi 103.102.31.18 — pozorovaná pri pokusoch o zneužitie MikroTrick Ak existuje podozrenie na kompromitáciu, poľská agentúra odporúča izolovať router, zachovať logy a konfiguráciu, následne zariadenie obnoviť na továrenské nastavenia a znovu ho zostaviť z dôveryhodnej konfigurácie pri súčasnej rotácii hesiel, kľúčov a ďalších tajomstiev. Pre tých, ktorí nemôžu aktualizácie nainštalovať okamžite, je jedným z odporúčaní obmedziť alebo vypnúť zvonka dostupné služby SSH, WWW/WWW-SSL a bandwidth-test a vyhýbať sa vstavaným klientom SSH a odchádzajúcim spojeniam TLS cez nedôveryhodné siete. K 5. septembru bolo podľa údajov The ShadowServer Foundation 122 500 zariadení MikroTik s vystaveným rozhraním SSH. Presný počet zariadení zraniteľných voči exploitu MikroTik však nebol stanovený. Keď útočníci majú platné prihlasovacie údaje, zablokovaných je len 37 % ich akcií Celkové skóre prevencie môže zakryť, čo sa deje po počiatočnom prístupe. Keď útočníci používajú platné prihlasovacie údaje, prevencia prudko klesá. Blue Report 2026 meria obranu techniku po technike v 338 miliónoch simulácií spustených v produkčných prostrediach zákazníkov. Získať report