Основы Интернет - технологий.

Специалисты CERT Polska предупреждают об обнаружении шести уязвимостей в RouterOS и атаках на маршрутизаторы MikroTik. По информации специалистов, комбинация из двух багов, получившая название MikroTrick, позволяет получить административный доступ к устройству без аутентификации, если его SSH доступен из интернета. Первые атаки были зафиксированы 2 сентября 2026 года. Исследователи сообщают об обнаружении уязвимостей CVE-2026-67276, CVE-2026-67277, CVE-2026-67278, CVE-2026-67279, CVE-2026-67281 и CVE-2026-86060, которые затрагивают сервер и клиент SSH, сервис bandwidth-test, обработку сертификатов X.509 и веб-интерфейс WebFig. Две из этих проблем получили оценку 9,2 балла по шкале CVSS, то есть являются критическими. Первая критическая уязвимость (CVE-2026-67276) связана с некорректной проверкой RSA-ключей при SSH-аутентификации. Как оказалось, RouterOS проверяет не весь публичный ключ пользователя, а лишь его часть. Поэтому атакующий, которому известно имя пользователя и модуль RSA-ключа, может подделать подпись и открыть собственную SSH-сессию без приватного ключа. Вторая критическая проблема (CVE-2026-86060) связана с манипулированием привилегиями SSH-сессии с помощью специально сформированного имени пользователя, что в итоге позволяет злоумышленнику получить административные права на устройстве. Еще один связанный с SSH баг (CVE-2026-67279) позволяет обойти аутентификацию при повторном обмене ключами: RouterOS может начать обрабатывать соединение еще до того, как пользователь пройдет аутентификацию. Это позволяет открыть канал SSH, отправлять команды, а также создавать или перезаписывать файлы на устройстве. Три оставшихся бага позволяют извлекать данные из памяти или провоцировать перезагрузку маршрутизатора через bandwidth-test (CVE-2026-67277), подделывать доверенные TLS-сертификаты (CVE-2026-67278), а также без аутентификации читать файлы через WebFig, в том числе конфигурационные файлы с учетными данными (CVE-2026-67281). При этом специалисты CERT Polska не уточняют, какие именно уязвимости можно объединить в цепочку MikroTrick. Однако исследователи предупреждают, что хакеры уже эксплуатируют эту цепочку против устройств, где SSH доступен из интернета. Подчеркивается, что уязвимости сами по себе не открывают SSH наружу, и для атаки нужен роутер, где такой доступ уже разрешен. Домашние устройства MikroTik в конфигурациях по умолчанию обычно блокируют подключение к интерфейсам управления из интернета. Все перечисленные проблемы уже исправлены в RouterOS версий 6.49.21, 7.23.4, 7.24.2 и 7.25beta3. При этом пользователям RouterOS 7.23 рекомендуется версия 7.23.5, в которой исправили проблему с IPv6 DHCP. Разработчики MikroTik называют эти обновления «важными» и советуют всем пользователям установить их как можно быстрее. После обновления RouterOS проверяет систему в поисках индикаторов компрометации и при необходимости помечает устройство статусом «Flagged». Кроме того, администраторам рекомендуют самостоятельно проверить логи, поискать неизвестные аккаунты, скрипты и другие изменения конфигурации. Среди известных индикаторов компрометации перечислены привилегированный пользователь ops, а также записи о создании аккаунтов, содержащие ssh:-2@. Если по каким-то причинам невозможно установить исправления немедленно, в CERT советуют закрыть доступ к SSH, WWW, WWW-SSL и bandwidth-test из интернета или разрешить его только из доверенных сетей. В случае обнаружения следов взлома роутер советуют изолировать, сохранить логи и конфигурацию, а затем сбросить устройство до заводских настроек и настроить заново.