Хакеры используют новые уязвимости в MikroTik RouterOS для взлома маршрутизаторов.

[admin]

Хакеры используют цепочку из двух недавно обнаруженных уязвимостей в маршрутизаторах MikroTik для получения контроля над устройствами с доступом к SSH-сервисам через интернет.

Одна из проблем безопасности, отслеживаемая как CVE-2026-67276, представляет собой уязвимость обхода аутентификации SSH в MikroTik RouterOS, вызванную неполной проверкой открытых ключей RSA.

Злоумышленник, знающий имя пользователя и открытый модуль его ключа, может использовать это для взлома, создав другой ключ и войдя в систему без использования легитимного закрытого ключа.

Вторая уязвимость безопасности обозначена как CVE-2026-86060. Это уязвимость повышения привилегий по протоколу SSH в операционной системе MikroTik RouterOS, возникающая из-за некорректной обработки специально сформированных имен пользователей.

Хакеры могут использовать это, применяя специально созданное имя пользователя для манипулирования SSH-сессией и получения полных административных привилегий.

Обе уязвимости были обнаружены польским агентством CERT с помощью GPT-5.5-cyber и GPT-5.6-sol и получили критическую степень серьезности.

Польское агентство назвало цепочку эксплойтов «MikroTrick» и предупредило, что в настоящее время она активно используется злоумышленниками.

«В последние дни мы наблюдаем атаки на устройства RouterOS, доступные из интернета», — предупреждает польский CERT .

«Мы получили подтверждение того, что злоумышленники используют это сочетание уязвимостей для получения полного контроля над устройствами, SSH-сервис которых доступен из общедоступных сетей».

Польский CERT также выявил третью уязвимость, CVE-2026-67277, которая затрагивает службу проверки пропускной способности RouterOS и позволяет неавторизованным злоумышленникам получить доступ к памяти ядра или удаленно вызвать сбой/перезагрузку маршрутизатора.

Компания MikroTik исправила уязвимости в RouterOS версий 7.25beta3, 7.24.2, 7.23.4 и 6.49.21, выпущенных 3 сентября, и польский CERT подтвердил правильность исправлений.

В своем уведомлении поставщик отмечает, что затронуты не все конфигурации, но не раскрывает никаких подробностей, чтобы дать пользователям время установить обновления безопасности.

В обновлениях добавлен механизм обнаружения компрометации в маршрутизаторы, который при запуске ищет известные признаки несанкционированных изменений конфигурации, отключает вредоносные записи и регистрирует критическое предупреждение.

Однако CERT отмечает, что отсутствие маркера, указывающего на компрометацию, не следует рассматривать как гарантию того, что маршрутизатор не был скомпрометирован.

Группа реагирования на чрезвычайные ситуации (CERT) предоставила следующие индикаторы компрометации (IoC):

Записи в журнале: 'ошибка входа для пользователя -2 с <ip> через ssh' и 'пользователь <имя> добавлен с помощью ssh:-2@<ip>'
Наличие высокопривилегированного операционного аккаунта
82.192.72.4 — связан с подтвержденными успешными атаками
103.102.31.18 — замечена попытка взлома MikroTrick.
В случае подозрения на взлом, польское агентство рекомендует изолировать маршрутизатор, сохранить журналы и конфигурацию, затем сбросить устройство до заводских настроек и переустановить его с использованием доверенной конфигурации, при этом меняя пароли, ключи и другие секретные данные.

Тем, кто не может немедленно установить обновления, рекомендуется ограничить или отключить доступ к внешним сервисам SSH, WWW/WWW-SSL и сервисам проверки пропускной способности, а также избегать использования встроенных SSH-клиентов и исходящих TLS-соединений через ненадежные сети.

По данным ShadowServer Foundation, по состоянию на 5 сентября 122 500 устройств MikroTik имели открытый SSH-интерфейс. Точное количество устройств, уязвимых для эксплойта MikroTik, пока не установлено.

Источник