Две уязвимости SSH в MikroTik RouterOS, объединенные в цепочку, позволяют злоумышленникам получить полный административный контроль над маршрутизаторами, открытыми для Интернета, без пароля, SSH-ключа или завершенной аутентификации.
Цепочка, которую CERT Polska называет MikroTrick, сочетает в себе уязвимость в состоянии машины SSH (CVE-2026-67279) с ошибкой инъекции аргументов в процессе входа в RouterOS (CVE-2026-86060). Логи атак датируются как минимум 2 сентября, за день до того, как MikroTik выпустил патчи в RouterOS 6.49.21, 7.23.4 и 7.24.2.
Как сообщалось ранее, CERT Polska предупредила 5 сентября о том, что злоумышленники используют уязвимости RouterOS для захвата контроля над устройствами, SSH-сервис которых был доступен из публичных сетей. Это предупреждение подтвердило эксплуатацию и призвало к немедленному патчированию, но не указало, какие две уязвимости образуют цепочку, или объяснило, как они комбинируются. Этот последний анализ предоставляет обе информации.
Как работает цепочка
SSH требует три шага в порядке: устанавливает зашифрованное соединение, аутентифицирует пользователя и только затем позволяет клиенту открыть сессию и выполнять команды. Сервер отправляет конкретное сообщение (SSH_MSG_USERAUTH_SUCCESS), чтобы подтвердить, что аутентификация прошла успешно.
CVE-2026-67279 нарушает эту последовательность. Если клиент начинает повторную переговоры SSH-ключа во время шага аутентификации, уязвимый RouterOS переходит прямо к фазе команд, когда переговоры завершаются, не подтверждая личность пользователя.
Ошибка не создает аутентифицированную сессию и не предоставляет никаких привилегий сама по себе, но позволяет неаутентифицированному клиенту достичь стадии, которая должна требовать завершенного входа.
CVE-2026-86060 превращает этот доступ в полный административный контроль. RouterOS запускает программу входа (/nova/bin/login), которая получает имя пользователя и уровень привилегий от SSH-демона в качестве аргументов командной строки, не проверяя имя пользователя сначала. Значение, начинающееся с дефиса, рассматривается как опция программы, а не как имя.
Злоумышленник отправляет -2 в качестве имени пользователя. Программа входа рассматривает это как инструкцию прочитать свою личность и уровень привилегий из дескриптора файла 2, который указывает на терминал, созданный SSH-сессией.
Через SSH-канал злоумышленник уже записал выбранное имя пользователя и значение привилегий для полного административного доступа к этому терминалу. Программа входа принимает оба и открывает полностью привилегированную консоль.
Доказательства эксплуатации до патча
Цепочка оставляет отличительный след в логах устройства: неудачная попытка входа для пользователя -2. CERT Polska сообщает, что логи, соответствующие этому шаблону, появились на форуме MikroTik уже 2 сентября, за день до того, как патчи стали доступны, и команда считает, что цепочка была использована до выпуска исправлений MikroTik.
Диагностический отчет на форуме MikroTik показывает последовательность атаки на одном устройстве: отклоненная аутентификация для -2, принудительная повторная переговоры, переход к фазе канала и запрос exec, пытающийся создать пользователя с именем ops с полными привилегиями. Процесс SSH завис перед завершением команды на этом устройстве.
Другие отчеты подтвердили, что учетная запись ops была успешно создана на затронутых устройствах. В некоторых инцидентах CERT Polska обнаружила создание диагностических файлов, за которыми следовали передачи данных на IP-адрес злоумышленника, что сильно указывает на то, что конфигурационные данные были скопированы в инфраструктуру злоумышленника.
Цепочка MikroTrick — это CVE-2026-67279, объединенная с CVE-2026-86060. Некоторые публикации ошибочно включили третью уязвимость, CVE-2026-67276, которую CERT Polska считает отдельной уязвимостью SSH, позволяющей злоумышленнику подделать RSA-ключ для входа как существующий пользователь. Эта ошибка требует знания имени учетной записи и ее открытого ключа и предоставляет доступ только к этой учетной записи.
CISA добавила CVE-2026-86060 в свой каталог известных эксплуатируемых уязвимостей 10 сентября, независимо подтвердив активную эксплуатацию ошибки инъекции аргументов.
Цепочка требует, чтобы SSH был доступен злоумышленнику. MikroTik утверждает, что его конфигурация по умолчанию не открывает SSH для Интернета, но администраторы, которые изменили свои правила брандмауэра или управляют устройствами через SSH из ненадежных сетей, сталкиваются с более высоким риском.
Не было опубликовано авторитетного подсчета скомпрометированных устройств.
Что проверить
Патчирование предотвращает атаку, но не удаляет изменения, внесенные злоумышленником до обновления. После обновления администраторы должны проверить статус Flagged, запустив /system/device-mode/print.
Механизм Flagged обнаруживает только выбранные следы компрометации, и его отсутствие не доказывает, что устройство безопасно, утверждают как CERT Polska, так и MikroTik.
CERT Polska опубликовала эти индикаторы из наблюдаемых атак:
Имя пользователя: -2 в логах входа SSH
Учетная запись: ops в группе с полными привилегиями
IP: 82.192.72.4 (наблюдалось в успешных атаках)
IP: 103.102.31.18 (использовался в попытках эксплуатации)
Администраторы также должны проверить наличие неизвестных пользователей, скриптов, записей планировщика, туннелей, прокси, неожиданных диагностических файлов .rif или необъяснимой активности получения.
Если какие-либо из этих индикаторов присутствуют, CERT Polska рекомендует изолировать устройство, сохранить его логи и конфигурацию, выполнить сброс к заводским настройкам и восстановить его из доверенной конфигурации.
Все пароли, ключи и другие учетные данные должны быть изменены. Резервная копия скомпрометированного устройства не должна быть восстановлена.
CERT Polska использовала модели ИИ, включая GPT-5.5-cyber и GPT-5.6-sol через программу OpenAI GTAC, наряду с локально размещенными моделями открытых весов для автоматизации лабораторного тестирования и анализа протоколов во время исследования. Каждое открытие было проверено на реальных системах RouterOS.
The Hacker News связались с CERT Polska и MikroTik для комментариев по техническому анализу.
Считаете эту статью интересной? Подписывайтесь на нас в Google News, Twitter и LinkedIn, чтобы читать больше эксклюзивного контента, который мы публикуем.