Hakerzy przejmują routery MikroTik – ostrzeżenie CERT

CERT Polska namierzył sześć dziur w systemie MikroTik RouterOS. Dwie z nich, nazwane MikroTrick, dają napastnikom pełną władzę nad sprzętem bez żadnego hasła. Warunek jest jeden: aktywny zdalny dostęp przez protokół SSH.

Eksperci potwierdzili realne ataki na urządzenia widoczne w publicznej sieci. Sytuacja jest poważna. Jedynym wyjściem pozostaje natychmiastowa aktualizacja oprogramowania.

Kluczowe luki bezpieczeństwa

Wśród błędów dominują trzy krytyczne punkty. CVE-2026-67276 pozwala ominąć uwierzytelnienie SSH przez błąd w weryfikacji kluczy RSA. CVE-2026-86060 umożliwia awans do poziomu administratora za pomocą spreparowanej nazwy użytkownika. Trzecia luka, CVE-2026-67277, uderza w usługę bandwidth-test. Może to skończyć się wyciekiem pamięci jądra lub restartem systemu.

Jak rozpoznać atak?

CERT Polska podał konkretne tropy. W logach mogą widnieć próby logowania użytkownika „-2” lub dodawanie nowych kont przez SSH. Charakterystycznym znakiem jest obecność konta o nazwie „ops”. Ataki szły m.in. z adresów IP 82.192.72.4 oraz 103.102.31.18.

Mechanizm „Flagged” i aktualizacje

Producent wypuścił poprawki w wersjach 7.25beta3, 7.24.2, 7.23.4 oraz 6.49.21. Nowe wydania mają znacznik „Flagged”, który sygnalizuje nieautoryzowane zmiany w konfiguracji. Brak tej flagi nie daje jednak pełnej gwarancji bezpieczeństwa.

Zalecenia dla administratorów

Konieczna jest szybka aktualizacja i przegląd konfiguracji pod kątem obcych skryptów, tuneli lub użytkowników. Jeśli to niemożliwe, trzeba zablokować dostęp do SSH, WWW oraz bandwidth-test z zewnątrz. Po potwierdzeniu włamania urządzenie należy odizolować i przywrócić do ustawień fabrycznych.

Zabezpieczenie logów przed resetem to absolutna podstawa w takich przypadkach.

Źródło: CERT