两个 MikroTik RouterOS SSH 漏洞的结合使攻击者能够在没有密码、SSH 密钥或完成身份验证的情况下，完全控制暴露于互联网的路由器。
这个链条，CERT Polska 称之为 MikroTrick，结合了一个 SSH 状态机缺陷 (CVE-2026-67279) 和 RouterOS 登录过程中的一个参数注入漏洞 (CVE-2026-86060)。攻击日志的日期至少追溯到 9 月 2 日，也就是 MikroTik 在 RouterOS 6.49.21、7.23.4 和 7.24.2 中发布补丁的前一天。
正如之前报道的，CERT Polska 在 9 月 5 日警告称，攻击者正在利用 RouterOS 漏洞控制那些 SSH 服务可以从公共网络访问的设备。
该警告确认了漏洞的利用，并敦促立即修补，但并未指出形成链条的两个漏洞，也没有解释它们是如何结合的。这最新的分析提供了这两者的详细信息。
链条如何工作
SSH 需要按顺序进行三个步骤：建立加密连接、验证用户，然后才允许客户端打开会话并运行命令。服务器发送特定消息 (SSH_MSG_USERAUTH_SUCCESS) 来确认身份验证已通过。
CVE-2026-67279 打破了这个顺序。如果客户端在身份验证步骤中启动 SSH 密钥重新协商，易受攻击的 RouterOS 会在重新协商完成时直接进入命令阶段，而不会确认用户的身份。
该缺陷本身并不会创建经过身份验证的会话或授予任何特权，但它允许未经过身份验证的客户端达到一个应该需要完成登录的阶段。
CVE-2026-86060 将该访问权限转化为完全的管理控制。RouterOS 启动一个登录程序 (/nova/bin/login)，该程序从 SSH 守护进程接收用户名和特权级别作为命令行参数，而不先检查用户名。以连字符开头的值被视为程序选项而不是名称。
攻击者将 -2 作为用户名发送。登录程序将其视为从文件描述符 2 读取其身份和特权级别的指令，该文件描述符指向 SSH 会话创建的终端。
通过 SSH 通道，攻击者已经将所选用户名和完全管理访问的特权值写入该终端。登录程序接受这两个值并打开一个完全特权的控制台。
补丁前利用的证据
该链条在设备日志中留下了独特的痕迹：用户 -2 的登录尝试失败。CERT Polska 表示，符合此模式的日志在 9 月 2 日出现在 MikroTik 论坛上，早于补丁发布一天，团队认为该链条在 MikroTik 发布修复之前就已被利用。
MikroTik 论坛上的一份诊断报告显示了一个设备上的攻击序列：对 -2 的身份验证被拒绝，强制重新协商，跳转到通道阶段，以及尝试创建一个名为 ops 的全权用户的执行请求。在该设备上，SSH 进程在命令完成之前崩溃。
其他报告确认在受影响的设备上成功创建了 ops 账户。在一些事件中，CERT Polska 发现诊断文件创建后跟随数据传输到攻击者的 IP 地址，强烈暗示配置数据被复制到攻击者的基础设施。
MikroTrick 链是 CVE-2026-67279 和 CVE-2026-86060 的结合。一些出版物错误地包括了第三个缺陷 CVE-2026-67276，CERT Polska 表示这是一个独立的 SSH 漏洞，允许攻击者伪造 RSA 密钥以作为现有用户登录。该缺陷需要知道账户名称及其公钥，并且仅给予对该账户的访问权限。
CISA 于 9 月 10 日将 CVE-2026-86060 添加到其已知利用漏洞目录中，独立确认了参数注入漏洞的主动利用。
该链条要求攻击者能够访问 SSH。MikroTik 表示，其默认家庭配置不会将 SSH 暴露于互联网，但更改防火墙规则或从不受信网络通过 SSH 管理设备的管理员面临更高的风险。
尚未发布被攻陷设备的权威统计数据。
检查事项
修补程序可以防止攻击，但不会消除攻击者在更新之前所做的更改。更新后，管理员应通过运行 /system/device-mode/print 检查标记状态。
标记机制仅检测选定的妥协痕迹，其缺失并不能证明设备是安全的，CERT Polska 和 MikroTik 均表示。
CERT Polska 发布了这些来自观察到的攻击的指标：
用户名：SSH 登录日志中的 -2
账户：全特权组中的 ops
IP：82.192.72.4（在成功攻击中观察到）
IP：103.102.31.18（在利用尝试中使用）
管理员还应检查未知用户、脚本、调度程序条目、隧道、代理、意外的 .rif 诊断文件或无法解释的提取活动。
如果存在任何这些指标，CERT Polska 建议隔离设备，保留其日志和配置，恢复出厂设置，并从受信配置重新构建。
所有密码、密钥和其他凭据都应更改。被攻陷设备的备份不应恢复。
CERT Polska 在研究期间使用了 AI 模型，包括通过 OpenAI GTAC 程序的 GPT-5.5-cyber 和 GPT-5.6-sol，以及本地托管的开放权重模型，以自动化实验室测试和协议分析。每个发现都与真实的 RouterOS 系统进行了验证。
The Hacker News 已联系 CERT Polska 和 MikroTik 对技术分析进行评论。
觉得这篇文章有趣吗？请在 Google 新闻、Twitter 和 LinkedIn 上关注我们，以阅读更多我们发布的独家内容。