- El ataque MikroTrick encadena vulnerabilidades críticas de SSH para saltarse la autenticación y escalar privilegios a nivel root.
- La explotación activa afecta a dispositivos con RouterOS expuestos a internet, permitiendo el control total sin necesidad de contraseñas.
- La remediación completa exige actualizar el sistema, cerrar puertos de gestión públicos y realizar una auditoría profunda de persistencia.
Si tienes un router MikroTik en tu casa o negocio, puede que te interese saber que ha saltado una alerta roja bastante seria. Resulta que unos investigadores han sacado a la luz una movida llamada MikroTrick, que básicamente es una combinación de fallos de seguridad que permite a cualquier malintencionado meterse en tu equipo sin pedir permiso ni contraseña. Lo peor de todo es que, si tienes el servicio SSH abierto al mundo, el atacante puede tomar el control total del aparato, convirtiendo tu puerta de enlace en el centro de operaciones para espiar todo lo que entra y sale de tu red.
Este problema no es una simple teoría de laboratorio, sino que se está explotando en la vida real. El riesgo es crítico porque quien controla el router controla el tráfico, puede cambiar las rutas de DNS para mandarte a webs falsas o crear puertas traseras para colarse en tus ordenadores y servidores internos. No basta con poner una contraseña larga y complicada, ya que el fallo está en el propio sistema de autenticación, lo que significa que la cerradura está rota y el hacker puede entrar simplemente manipulando la conexión.
La anatomía del ataque MikroTrick
Para entender cómo funciona este lío, hay que saber que MikroTrick no es un solo error, sino una cadena de vulnerabilidades. La primera pieza del puzle es la CVE-2026-67279. Normalmente, cuando te conectas por SSH, hay un proceso estricto de validación, pero este fallo ocurre durante el re-encriptado de las claves (rekeying). Un atacante puede forzar este proceso para que el router se salte la comprobación de identidad y le deje pasar a la fase de comandos sin haber puesto ninguna contraseña.
Pero entrar es solo el principio; el verdadero golpe llega con la CVE-2026-86060. Aquí es donde el intruso escala privilegios. El sistema de inicio de sesión de RouterOS no filtra bien el nombre de usuario. Si el hacker envía una cadena que empieza por un guion, concretamente el valor -2, el dispositivo se confunde y lee los permisos desde un canal interno controlado por el atacante. Así, el sistema le otorga derechos de administrador total de la nada, permitiéndole hacer lo que quiera con el equipo.
Otros agujeros de seguridad detectados
Aunque MikroTrick es el protagonista, hay otros fallos que ponen los pelos de punta. Por ejemplo, la CVE-2026-67276 afecta a las claves RSA; un atacante que conozca el módulo de una clave autorizada podría falsificar una firma usando un exponente igual a uno para engañar al sistema y entrar como un usuario válido.
Por otro lado, tenemos el problema de WebFig (CVE-2026-67281), donde un fallo en el proxy de JavaScript permite que alguien que ni siquiera se ha autenticado pueda leer archivos sensibles del sistema, incluyendo configuraciones que podrían contener claves secretas. También se detectó un problema en la herramienta de bandwidth-test (CVE-2026-67277) que podría causar que el router se reinicie solo o que se filtre memoria del kernel, y un fallo en la validación de certificados X.509 (CVE-2026-67278) que permite suplantar servidores remotos si el router inicia conexiones TLS en redes no seguras.
Cómo saber si te han colado un ataque
Si sospechas que tu router ha sido comprometido, no reinicies el equipo a lo loco, porque los logs se guardan en memoria y podrías borrar las pruebas. Lo primero es mirar los registros buscando el usuario -2 o intentos de acceso desde IPs sospechosas como la 82.192.72.4 o la 103.102.31.18. Otra señal clarísima es encontrar un usuario llamado ops con privilegios máximos que tú no hayas creado.
MikroTik ha implementado una función llamada Flagged. Si tras actualizar el sistema ejecutas el comando /system device-mode print y ves que el estado es yes, es que el router ha detectado rastros de modificaciones sospechosas. Ojo, que si sale no tampoco significa que estés limpio al 100%, ya que el sistema solo detecta patrones conocidos, pero el estado ‘yes’ es una confirmación casi segura de que alguien ha estado husmeando.
Plan de choque: Parchear y asegurar el equipo
La solución inmediata es actualizar RouterOS. Dependiendo de tu rama, debes moverte a la 6.49.21, 7.23.4, 7.23.5 o 7.24.2 según corresponda. Pero ojo, que actualizar el software es como poner una cerradura nueva en una puerta que ya han forzado: el hacker puede haber dejado una copia de la llave. Por eso es vital auditar la configuración buscando scripts raros, tareas programadas en el scheduler o túneles VPN que no reconozcas.
Para que no te vuelva a pasar, la regla de oro es quitar el SSH de internet. Si no lo necesitas, desactívalo. Si es imprescindible, limítalo a una IP específica o a una red de gestión. Lo mismo ocurre con WebFig; deshabilita el HTTP y deja el HTTPS solo para administradores. Una jugada maestra es montar una VPN con WireGuard y gestionar el router solo a través de ese túnel, dejando todos los puertos de gestión cerrados al mundo exterior.
Medidas avanzadas de endurecimiento
Para los que quieren ir a saco con la seguridad, recomendamos usar listas de direcciones en el firewall. Crea una lista llamada MGMT-TRUSTED con tus IPs seguras y configura el firewall para que solo acepte conexiones en los puertos de gestión desde ese grupo, bloqueando todo lo demás en la interfaz WAN. No te olvides de aplicar lo mismo para IPv6, que es donde mucha gente mete la pata y deja la puerta abierta mientras cierra la de IPv4.
También es muy recomendable desactivar el servidor de pruebas de ancho de banda y restringir el acceso en capa 2, apagando el MAC-Telnet y el MAC-WinBox en interfaces que no sean de gestión. Finalmente, lo más profesional es centralizar los logs en un servidor externo (Syslog), para que si un atacante borra las huellas en el router, tú sigas teniendo el registro de qué ha pasado en tu servidor de monitorización.
Para mantener la red a salvo, es fundamental combinar la actualización inmediata del firmware con una reducción drástica de la superficie de ataque, eliminando cualquier servicio de gestión expuesto a internet y vigilando los indicadores de compromiso como el usuario ops o el estado flagged. La verdadera seguridad no reside en un solo parche, sino en una estrategia de defensa en profundidad que incluya segmentación mediante VPN, auditorías constantes de la configuración y el uso de firewalls estrictos tanto en IPv4 como en IPv6.