5 września 2026 r. CERT Polska opublikował ostrzeżenie dotyczące sześciu podatności w MikroTik RouterOS. Dwie z nich otrzymały ocenę CVSS 9.2. Ich połączenie, nazwane MikroTrick, jest już wykorzystywane w rzeczywistych atakach na urządzenia z usługą SSH dostępną z internetu. To nie jest wyłącznie teoretyczny problem ani zwykła próba odgadnięcia hasła.
Czym jest MikroTrick i co właściwie odkryto?
RouterOS to system wykorzystywany w routerach, urządzeniach sieciowych i wirtualnych instancjach MikroTik. W firmach często obsługuje połączenie internetowe, firewall, VLAN-y, VPN, routing oraz dostęp do serwerów i usług. CERT Polska zidentyfikował sześć luk obejmujących SSH, bandwidth-test, certyfikaty X.509 i WebFig. Najgroźniejszy obserwowany scenariusz łączy błąd w uwierzytelnianiu SSH z błędem eskalacji uprawnień.
Wektor ataku: od publicznego SSH do administratora
Pierwszym warunkiem obserwowanego ataku jest możliwość połączenia z usługą SSH podatnego urządzenia. Najczęściej chodzi o port TCP 22 wystawiony do internetu, ale zmiana numeru portu nie usuwa podatności. Istotna jest dostępność usługi z niezaufanej sieci, a nie sam numer portu.
CVE-2026-67276 dotyczy niepełnej weryfikacji klucza publicznego RSA. RouterOS porównywał typ i moduł klucza, pomijając wykładnik, a następnie weryfikował podpis przy użyciu klucza dostarczonego przez klienta. Przy znajomości nazwy użytkownika i autoryzowanego modułu RSA możliwe było obejście uwierzytelnienia bez posiadania właściwego klucza prywatnego. Uzyskane uprawnienia odpowiadały uprawnieniom konta. Nie oznacza to jednak, że każdy losowy klucz RSA automatycznie pozwala zalogować się na dowolny router.
CVE-2026-86060 dotyczy obsługi spreparowanej nazwy użytkownika w ścieżce logowania SSH. Błąd pozwala zmienić maskę uprawnień sesji i uzyskać pełne uprawnienia administracyjne. CERT Polska potwierdził aktywne wykorzystanie połączenia tych dwóch podatności. Szczegółów pozwalających odtworzyć exploit nie publikujemy w tym poradniku; dla obrony istotne są warunki ekspozycji, poprawki i ślady kompromitacji.
Czy dotyczy to każdego MikroTika?
Nie każdy router jest tak samo narażony. Producent podkreśla, że większość konfiguracji nie jest bezpośrednio zagrożona obserwowanym atakiem, a domyślna konfiguracja blokuje dostęp do SSH z internetu. Najwyższy priorytet mają urządzenia z podatną wersją i usługą SSH osiągalną z publicznych lub innych niezaufanych sieci. Urządzenia dostępne wyłącznie przez prawidłowo skonfigurowany VPN mają znacznie mniejszą ekspozycję na ten konkretny wektor, ale nadal wymagają aktualizacji.
- Firmowe routery brzegowe z publicznym adresem IP i otwartym SSH.
- Routery zarządzane zdalnie przez administratorów lub zewnętrzne firmy IT.
- Urządzenia w oddziałach, sklepach, szkołach, magazynach i punktach usługowych.
- Instancje CHR oraz inne instalacje RouterOS z dostępnymi usługami zarządzania.
- Urządzenia z dostępem SSH ograniczonym do VPN lub zaufanych adresów — niższa ekspozycja, ale nadal konieczność weryfikacji wersji i pozostałych podatności.
Samo posiadanie publicznego adresu IP nie oznacza, że SSH jest dostępne z internetu. Trzeba sprawdzić reguły firewalla w łańcuchu input, konfigurację usług IP, listy dozwolonych adresów oraz ewentualne reguły operatora lub urządzenia stojącego przed routerem. Dostęp przez VPN nie jest równoważny wystawieniu SSH na cały internet.
Które wersje wymagają aktualizacji?
Według biuletynu producenta poprawki znajdują się w RouterOS 7.24.2 (Stable), 7.23.4 (Long-term), 6.49.21 (Long-term) oraz 7.25beta3. Nie należy zakładać, że każda luka dotyczy każdej wersji: poszczególne CVE mają różne zakresy podatności. Przykładowo CVE-2026-67276 dotyczy wersji od 7.9 do poniżej 7.23.4 oraz od 7.24 do poniżej 7.24.2. Szczegółową macierz wersji zawiera zestawienie CERT Polska.
W praktyce należy sprawdzić aktualny kanał i wersję, a następnie przejść do najnowszego odpowiedniego wydania zawierającego poprawki. W środowisku produkcyjnym aktualizację trzeba zaplanować z uwzględnieniem kopii konfiguracji, zgodności sprzętu, dostępności serwisowej i możliwości przywrócenia działania. Nie należy instalować wersji beta wyłącznie dlatego, że znajduje się na liście poprawek, jeżeli odpowiednia poprawiona wersja stabilna jest dostępna.
Pozostałe podatności: nie tylko SSH
CVE-2026-67277 (CVSS 8.8) dotyczy usługi bandwidth-test i może prowadzić do ujawnienia pamięci jądra albo zdalnego ataku DoS skutkującego restartem. CVE-2026-67278 obejmuje błędną walidację podpisów RSA/PKCS#1 v1.5 w certyfikatach X.509 i może umożliwić podszycie się pod serwer TLS przy odpowiednich warunkach kontroli lub przekierowania połączenia. CVE-2026-67279 dotyczy stanu protokołu SSH i umożliwia nieuwierzytelnione operacje na plikach zarządzanych przez RouterOS. CVE-2026-67281 obejmuje WebFig i możliwość nieautoryzowanego odczytu plików, w tym danych konfiguracyjnych zawierających poświadczenia. To dodatkowy powód, aby nie ograniczać działań wyłącznie do zamknięcia portu 22.
Co może oznaczać przejęcie routera dla firmy?
Router brzegowy jest jednym z najważniejszych punktów infrastruktury. Administrator urządzenia może zmieniać routing, firewall, DNS, VPN, konta i inne ustawienia sieciowe. W zależności od konfiguracji i dalszych działań napastnika kompromitacja może prowadzić do utraty dostępu do internetu, przerw w pracy, przekierowania ruchu, utworzenia nieautoryzowanych tuneli lub wykorzystania routera jako punktu wyjścia do kolejnych ataków. Nie oznacza to automatycznie, że każdy przejęty router spowodował wyciek danych lub zaszyfrowanie serwerów.
- Przestój: brak internetu, VPN, dostępu do systemów chmurowych, sprzedaży lub usług firmowych.
- Naruszenie poufności: możliwość przekierowania lub obserwacji wybranych rodzajów ruchu, zależnie od konfiguracji i zastosowanych zabezpieczeń.
- Dalsza penetracja: wykorzystanie dostępu do sieci do prób ataków na serwery, NAS-y, komputery i usługi administracyjne.
- Utrzymanie dostępu: dodatkowe konta, skrypty, harmonogramy, proxy, tunele lub zmienione reguły.
- Koszty: analiza incydentu, odtworzenie konfiguracji, przestój, obsługa klientów i ewentualne obowiązki związane z naruszeniem danych.
Jeżeli w firmie przetwarzane są dane osobowe, potwierdzony incydent wymaga również oceny, czy doszło do naruszenia ochrony danych i czy powstają obowiązki wynikające z RODO. Sam fakt istnienia podatności nie oznacza jeszcze naruszenia danych.
Jak rozpoznać możliwą kompromitację?
CERT Polska wskazuje konkretne artefakty obserwowanych ataków. W logach mogą pojawić się komunikaty „login failure for user -2 from <ip> via ssh” oraz „user <name> added by ssh:-2@<ip>”. Dodatkowym wskaźnikiem jest wysoce uprzywilejowane konto „ops”. CERT podał również adresy 82.192.72.4, z którego obserwowano udane ataki i tworzenie konta ops co najmniej od 2 września, oraz 103.102.31.18, z którego prowadzono próby wykorzystania podatności. Są to wskaźniki do analizy, a nie kompletna lista źródeł ataków.
Poprawione wydania RouterOS zawierają mechanizm Flagged, który podczas uruchamiania sprawdza wybrane znane oznaki nieautoryzowanych zmian. Może wyłączyć rozpoznane podejrzane wpisy i zapisać krytyczny komunikat w logu. Brak flagi nie dowodzi jednak, że urządzenie jest czyste. Nie należy również automatycznie przypisywać każdej flagi właśnie MikroTrick, ponieważ mechanizm może wykrywać inne oznaki kompromitacji.
Co administrator powinien zrobić teraz?
- Ustal listę urządzeń MikroTik, ich wersje RouterOS, lokalizacje i sposób zdalnego zarządzania.
- Sprawdź, czy SSH oraz inne usługi administracyjne są dostępne z internetu lub niezaufanych sieci. Ogranicz je do zaufanych adresów albo wyłącz publiczny dostęp i korzystaj z VPN.
- Wykonaj bezpieczną kopię konfiguracji i zaplanuj aktualizację do poprawionej wersji właściwego kanału.
- Po aktualizacji sprawdź logi, status Flagged, konta użytkowników, klucze, skrypty, harmonogramy, proxy, tunele, DNS, firewall i inne nieznane zmiany.
- Jeżeli istnieją oznaki kompromitacji, zabezpiecz materiał do analizy, odizoluj urządzenie zgodnie z planem ciągłości działania i potraktuj je jako potencjalnie przejęte.
- W przypadku potwierdzonego przejęcia rozważ czystą reinstalację przez Netinstall i odtworzenie zweryfikowanej konfiguracji, a także zmianę odpowiednich poświadczeń i kluczy.
- Zweryfikuj dostęp do sieci wewnętrznej i systemów, do których router mógł zapewniać dostęp. Udokumentuj incydent i wykonane działania.
Bezpieczne sprawdzenie konfiguracji RouterOS
Administrator może sprawdzić wersję poleceniem /system resource print, dostępne aktualizacje przez /system package update check-for-updates, a konfigurację SSH przez /ip service print detail where name=ssh. Reguły firewalla należy analizować w /ip firewall filter print detail, szczególnie w łańcuchu input. Dodatkowo warto sprawdzić /user print detail, /system script print, /system scheduler print oraz /log print. Polecenia te służą do odczytu i nie wykonują exploita.
Nie należy bezrefleksyjnie wklejać gotowych reguł blokujących dostęp do routera, szczególnie podczas pracy zdalnej. Błędna reguła input może odciąć administratora od urządzenia. Zmiany warto wykonywać z bezpiecznym dostępem awaryjnym, a w razie potrzeby z użyciem Safe Mode.
Dlaczego VPN jest lepszy od publicznego panelu administracyjnego?
Zdalne zarządzanie nie musi oznaczać wystawienia SSH, WinBoxa lub WebFig na cały internet. VPN, na przykład WireGuard, pozwala najpierw uwierzytelnić administratora w wydzielonym kanale, a dopiero później udostępnić usługi zarządzania. Dodatkowo należy stosować zasadę najmniejszych uprawnień, ograniczenia adresowe, osobne konta administratorów, aktualizacje i monitoring. VPN nie jest jednak magiczną ochroną przed wszystkimi podatnościami: sam również wymaga poprawnej konfiguracji i utrzymania.
Jak Bootwin może pomóc firmie?
W Bootwin zajmujemy się administracją sieciami firmowymi, routerami MikroTik, VPN i bezpieczeństwem infrastruktury. Możemy przeprowadzić przegląd ekspozycji usług, zweryfikować wersje RouterOS, zaplanować aktualizację, sprawdzić konfigurację pod kątem nieautoryzowanych zmian oraz uporządkować bezpieczny dostęp zdalny. W przypadku podejrzenia incydentu zakres działań powinien zostać dostosowany do stanu urządzenia i potrzeb firmy.
Źródła i aktualność informacji
Artykuł przygotowano 8 września 2026 r. na podstawie komunikatów CERT Polska z 5 września 2026 r. i biuletynu producenta. Źródła: https://cert.pl/posts/2026/09/podatnosci-w-mikrotik-routeros-aktywnie-wykorzystywane/ ; https://cert.pl/posts/2026/09/mikrotik-routeros-cve/ ; https://mikrotik.com/supportsec/september-2026-vulnerability/ . Przed aktualizacją należy sprawdzić najnowszy komunikat producenta i dostępność poprawionego wydania.