Роутеры MikroTik начали захватывать ещё до выхода экстренных обновлений, а теперь появились подробности атак. В RouterOS подтверждены шесть уязвимостей, две из которых позволяют получить полный административный доступ без учётных данных. Связка получила название MikroTrick. Успешные взломы устройств с доступным из интернета SSH прослеживаются как минимум со 2 сентября 2026 года.
MikroTik выпустила исправления RouterOS 3 сентября в версиях 7.24.2, 7.23.4, 6.49.21 и 7.25beta3. Компания отложила техническое раскрытие, чтобы дать администраторам время обновиться. Однако сравнение старых и новых сборок позволило независимо восстановить часть ошибок. Уже 4 сентября появился подробный разбор с лабораторными проверками, а 5 сентября были опубликованы описания шести CVE и подтверждение эксплуатации.
Одна из наиболее опасных ошибок, CVE-2026-86060, связана с обработкой имени пользователя при входе через SSH, протокол защищённого удалённого управления. Служебная программа входа могла принять специально сформированное имя за управляющий аргумент и прочитать подставленные атакующим параметры доступа. В лаборатории исследователь превратил сеанс с ограниченными правами в полноценную административную сессию RouterOS. В журнале появлялась запись о создании пользователя ops через SSH с именем -2, совпадающая со следами реальных инцидентов.
Первоначальный эксперимент требовал, чтобы SSH предварительно принял необычное имя пользователя, например через внешнюю систему аутентификации. Поэтому лабораторный разбор сам по себе не доказывал возможность взломать любой доступный роутер без пароля. Более свежие результаты подтвердили, что злоумышленники применяют цепочку уязвимостей для захвата устройств без учётных данных. Обе наиболее опасные ошибки, CVE-2026-86060 и CVE-2026-67276, получили оценку 9,2 балла CVSS.
Уязвимость CVE-2026-67276 позволяет обойти SSH-аутентификацию при известном имени пользователя и публичном модуле разрешённого RSA-ключа. RouterOS сравнивала ключ не целиком, пропуская проверку одного из параметров. В результате атакующий мог подставить изменённый ключ и войти без соответствующего закрытого ключа, получив права выбранной учётной записи. Риск не ограничивается аккаунтами с редкой экспонентой e=3, поэтому проверка только таких ключей не заменяет обновление.
Отдельная ошибка проверки RSA-подписей, CVE-2026-67278, затрагивает сертификаты X.509. При определённых условиях RouterOS принимает поддельную цепочку сертификатов за доверенную. Атакующий, способный контролировать или перенаправлять исходящее TLS-соединение роутера, получает возможность выдать свой сервер за настоящий. Для атаки используется публичный сертификат корневого центра с экспонентой e=3, присутствующий в хранилище доверия RouterOS. Закрытый ключ центра сертификации не требуется.
Остальные подтверждённые ошибки расширяют последствия возможной атаки. CVE-2026-67277 в службе bandwidth-test позволяет без аутентификации раскрыть фрагменты памяти ядра или вызвать перезагрузку. CVE-2026-67279 нарушает порядок этапов SSH-соединения и открывает доступ к операциям с файлами до проверки пользователя. CVE-2026-67281 в WebFig позволяет читать файлы без входа, включая конфигурации с учётными данными.
Независимый разбор обновления также описывает переполнение стекового буфера в компоненте mtget при обработке слишком длинного пути TFTP. Ошибка требует доступа к команде загрузки файлов, но необходимое право test входит в стандартную группу read. Поэтому даже оператор с формально ограниченной ролью мог добраться до уязвимого кода. На RouterOS 7.23.3 для x86 CHR исследователь подтвердил управляемое выполнение вызова функции, а версия 7.23.4 отклонила длинное имя. Такой результат нельзя автоматически переносить на все аппаратные платформы.
Список признаков атаки тоже стал конкретнее. Подозрение должны вызвать незнакомый пользователь ops с полными правами и записи журнала с фрагментом ssh:-2@. Успешные атаки и создание ops связывают с адресом 82.192.72.4, попытки эксплуатации также наблюдались с 103.102.31.18. Неудачный вход пользователя -2 ещё не доказывает захват устройства, но требует проверки. Отсутствие перечисленных следов не гарантирует безопасности.
После обновления RouterOS проверяет конфигурацию, отключает распознанные подозрительные записи и при обнаружении признаков вмешательства выставляет статус Flagged. Посмотреть состояние можно командой /system/device-mode/print. Значение flagged, установленное в yes, требует считать устройство скомпрометированным и проверить все настройки. Механизм обнаруживает только известные признаки и не гарантирует полной очистки роутера.
Администраторам следует установить исправленную версию или более свежий выпуск своей ветки, проверить пользователей, сценарии, задания планировщика, прокси и туннели. При признаках взлома нужно изолировать устройство и сохранить журналы с конфигурацией до сброса. Затем восстановить настройки из проверенного источника и заменить пароли, ключи и другие секреты. Полную резервную копию потенциально захваченного роутера нельзя возвращать без проверки. До обновления следует отключить уязвимые службы либо разрешить доступ к SSH, WebFig и bandwidth-test только из доверенных сетей управления.