MikroTik под атакой: как защитить роутер от MikroTrick
Владельцам роутеров MikroTik в России сейчас стоит проверить RouterOS. CERT Polska и MikroTik подтвердили активные атаки на устройства, у которых SSH доступен из интернета. По данным российских сообщений, под угрозой находятся почти 100 000 устройств.
Атакам подвергаются уязвимые версии RouterOS. Цепочка получила название MikroTrick и позволяет получить полный административный контроль над роутером без пароля, SSH ключа и нормального завершения процедуры аутентификации. CERT Polska подтверждает, что такие атаки уже наблюдались в реальных сетях.
Как работает MikroTrick
MikroTrick объединяет две уязвимости: CVE-2026-67279 и CVE-2026-86060.
Первая связана с обработкой повторного согласования ключей, rekey, в SSH. Уязвимая RouterOS после определённой последовательности действий могла перейти от этапа аутентификации к обработке команд, хотя пользователь ещё не прошёл проверку личности.
Вторая уязвимость находится в механизме SSH входа RouterOS. Специально сформированное имя пользователя могло повлиять на обработку аргументов программы входа и привести к повышению привилегий до административных.
Вместе эти две ошибки давали атакующему полный доступ к административной консоли без знания пароля или наличия SSH ключа. Именно эту комбинацию CERT Polska называет MikroTrick.
Какие версии RouterOS затронуты
Проблема касается нескольких веток RouterOS. Исправления для основных поддерживаемых веток были выпущены в версиях:
| Ветка | Исправленная версия |
|---|---|
| RouterOS 6 | 6.49.21 |
| RouterOS 7.23 | 7.23.4 |
| RouterOS 7.24 | 7.24.2 |
| RouterOS 7.25 beta | 7.25beta3 |
MikroTik рекомендует установить исправленную версию как можно скорее. Производитель отдельно подчёркивает, что особенно важна ситуация с устройствами, на которых SSH вручную открыт для внешнего доступа. В стандартной конфигурации MikroTik SSH из интернета обычно закрыт.
При этом есть важный нюанс. CERT Polska позже сообщил ещё о нескольких связанных проблемах. В частности, CVE-2026-67278 получила исправление только в 7.23.6 и 7.24.3, поскольку версии 7.23.4 и 7.24.2 содержали неполное исправление именно этой уязвимости. Поэтому при обновлении лучше ставить актуальную доступную версию RouterOS, а не ориентироваться исключительно на минимальные номера исправлений из первых сообщений.
Что делать владельцу MikroTik сейчас
1. Немедленно обновить RouterOS
Откройте раздел обновления RouterOS и проверьте наличие новой версии. MikroTik прямо рекомендует обновление, а CERT Polska подтверждает, что выпущенные исправления блокируют наблюдавшийся вариант атаки.
2. Закрыть SSH из интернета
Если SSH нужен для удалённого управления, не оставляйте его доступным из всей публичной сети.
MikroTik рекомендует ограничить доступ доверенными IP адресами. Ещё один вариант, который производитель прямо предлагает, использовать VPN, например WireGuard, и вообще не выставлять административные порты роутера непосредственно в интернет.
3. Проверить, не был ли роутер уже взломан
Здесь есть самая неприятная часть истории. Просто установить обновление недостаточно, если устройство уже успели скомпрометировать.
CERT Polska обнаружил характерные записи в журналах атакованных устройств:
login failure for user -2 from 82.192.72.4 via ssh
user ops added by ssh:-2@<ip>
Отдельным индикатором компрометации является наличие высокопривилегированного пользователя ops. По данным CERT Polska, наблюдавшиеся успешные атаки и создание учётной записи ops происходили как минимум с 2 сентября 2026 года, а одним из использованных адресов был 82.192.72.4. Ещё один адрес, 103.102.31.18, фигурировал в попытках эксплуатации.
Искать нужно не только эти конкретные записи. CERT Polska рекомендует проверить неизвестных пользователей, скрипты, задания планировщика, прокси серверы и туннели. В RouterOS также появился механизм Flagged, который способен обнаруживать некоторые известные следы компрометации. Но отсутствие этого флага не гарантирует, что роутер чист.
4. Что делать при обнаружении следов взлома
Если роутер показывает статус Flagged, найден неизвестный администратор или обнаружены другие подозрительные изменения, безопаснее исходить из того, что устройство уже было скомпрометировано.
В такой ситуации обновление RouterOS само по себе не возвращает контроль над конфигурацией. Нужно сохранить необходимые данные, сбросить устройство и заново собрать конфигурацию, одновременно проверив учётные записи, правила доступа, скрипты, планировщик и сетевые туннели.
Почему история с MikroTik серьёзнее обычной уязвимости
Самая неприятная деталь здесь в том, что атаки уже наблюдались в реальных сетях. CERT Polska сообщает о публичных логах начиная с 2 сентября, а 10 сентября CVE-2026-67277 и CVE-2026-86060 добавили в каталог CISA Known Exploited Vulnerabilities.
При этом MikroTik изначально выпустил исправления 3 сентября, ещё не раскрывая технические подробности, чтобы дать администраторам время на обновление. Позже CERT Polska опубликовал технический разбор MikroTrick и подтвердил эксплуатацию цепочки на устройствах с доступным из интернета SSH.
Для обычного владельца домашнего MikroTik алгоритм поэтому короткий: обновить RouterOS, закрыть SSH от публичного интернета, проверить пользователей и журналы, а при подозрительных следах считать устройство потенциально скомпрометированным.
