- MikroTrick-angrepet kjeder sammen kritiske SSH-sårbarheter for å omgå autentisering og eskalere rettigheter til rotnivå.
- Aktiv utnyttelse påvirker RouterOS-enheter som er eksponert for internett, noe som gir full kontroll uten behov for passord.
- Fullstendig utbedring krever oppdatering av systemet, lukking av offentlige administrasjonsporter og gjennomføring av en grundig persistensrevisjon.
Hvis du har en MikroTik-ruter hjemme eller på bedriften din, kan det være interessant å vite at det er utstedt et alvorlig rødt varsel. Forskere har avdekket en sårbarhet kalt MikroTrick , som i hovedsak er en kombinasjon av sikkerhetshull som lar ondsinnede aktører få tilgang til enheten din uten tillatelse eller passord. Verst av alt, hvis SSH-tjenesten din er åpen, kan angriperen ta full kontroll over enheten, og gjøre gatewayen din om til et sentralt knutepunkt for å spionere på alt som kommer inn og ut av nettverket ditt.
Dette problemet er ikke bare en teoretisk øvelse; det utnyttes i virkelige situasjoner . Risikoen er kritisk fordi den som kontrollerer ruteren, kontrollerer trafikken, kan endre DNS-ruter for å omdirigere deg til falske nettsteder, eller lage bakdører for å infiltrere datamaskinene og interne servere. Det er ikke nok å bare bruke et langt, komplekst passord, ettersom feilen ligger i selve autentiseringssystemet. Dette betyr at låsen er brutt , og en hacker kan få tilgang ganske enkelt ved å manipulere forbindelsen.
Anatomien til MikroTrick-angrepet
For å forstå hvordan dette fungerer, er det viktig å vite at MikroTrick ikke er en enkelt feil, men en kjede av sårbarheter. Den første brikken i puslespillet er CVE-2026-67279 . Normalt sett, når du kobler til via SSH, er det en streng autentiseringsprosess, men denne feilen oppstår under nøkkelinntasting. En angriper kan tvinge frem denne prosessen slik at ruteren omgår identitetskontrollen og lar dem gå videre til kommandolinjefasen uten å ha skrevet inn et passord.
Men å få tilgang er bare begynnelsen; det virkelige slaget kommer med CVE-2026-86060 . Det er her inntrengeren eskalerer privilegier. RouterOS sitt innloggingssystem filtrerer ikke brukernavn riktig. Hvis hackeren sender en streng som begynner med en bindestrek, nærmere bestemt verdien -2 , blir enheten forvirret og leser tillatelsene fra en intern kanal kontrollert av angriperen. Dermed gir systemet dem fulle administratorrettigheter ut av løse luften, slik at de kan gjøre hva de vil med enheten.
Andre sikkerhetshull oppdaget
Selv om MikroTrick er hovedfokuset, finnes det andre sårbarheter som er virkelig alarmerende. For eksempel påvirker CVE-2026-67276 RSA-nøkler; en angriper som kjenner modulen til en autorisert nøkkel, kan forfalske en signatur ved å bruke en eksponent lik én for å lure systemet og logge inn som en legitim bruker.
På den annen side finnes det WebFig-sårbarheten (CVE-2026-67281) , der en feil i JavaScript-proxyen tillater noen som ikke engang har autentisert seg å lese sensitive systemfiler , inkludert konfigurasjoner som kan inneholde hemmelige nøkler. Det ble også oppdaget en sårbarhet i båndbreddetestverktøyet (CVE-2026-67277) som kunne føre til at ruteren startet på nytt eller lekket kjerneminne, og en feil i validering av X.509-sertifikat (CVE-2026-67278) som tillater ekstern serverrepresentasjon hvis ruteren starter TLS-tilkoblinger på usikrede nettverk.
Slik finner du ut om du har blitt svindlet
Hvis du mistenker at ruteren din har blitt kompromittert, må du ikke bare starte den på nytt på måfå, da loggene lagres i minnet og du kan slette bevisene. Det første du må gjøre er å sjekke loggene for brukeren -2 eller påloggingsforsøk fra mistenkelige IP-adresser som 82.192.72.4 eller 103.102.31.18 . Et annet tydelig tegn er å finne en bruker som heter «ops» med alle rettigheter som du ikke har opprettet.
MikroTik har implementert en funksjon som heter flaggetHvis du kjører kommandoen etter å ha oppdatert systemet /system device-mode print og du ser at staten er jaDet betyr at ruteren har oppdaget spor av mistenkelige modifikasjoner. Vær forsiktig hvis det vises Nei. Det betyr heller ikke at du er 100 % ren, siden systemet bare oppdager kjente mønstre, men «ja»-statusen er nesten en sikker bekreftelse på at Noen har snoket rundt.
Beredskapsplan: Opprett og sikre utstyret
Den umiddelbare løsningen er å oppdatere RouterOS. Avhengig av avdelingen din, bør du oppgradere til versjon 6.49.21, 7.23.4, 7.23.5 eller 7.24.2 , alt etter hva som er aktuelt. Men vær oppmerksom på at det å oppdatere programvaren er som å sette en ny lås på en dør som allerede er brutt opp: hackeren kan ha lagt igjen en kopi av nøkkelen. Derfor er det viktig å revidere konfigurasjonen og se etter uvanlige skript, planlagte oppgaver i planleggeren eller VPN-tunneler du ikke kjenner igjen.
For å forhindre at dette skjer igjen, er den gylne regelen å fjerne SSH fra internett . Hvis du ikke trenger det, deaktiver det. Hvis det er viktig, begrens det til en bestemt IP-adresse eller et administrasjonsnettverk. Det samme gjelder WebFig; deaktiver HTTP og la HTTPS kun være tilgjengelig for administratorer. Et mesterverk er å sette opp et VPN med WireGuard og administrere ruteren kun gjennom den tunnelen, slik at alle administrasjonsporter holdes stengt for omverdenen.
Avanserte herdingstiltak
For de som ønsker å gå til det ytterste med sikkerhet, anbefaler vi å bruke adresselister i brannmuren din . Opprett en liste kalt MGMT-TRUSTED med dine sikre IP-adresser og konfigurer brannmuren til å bare godta tilkoblinger på administrasjonsporter fra den gruppen, og blokkere alt annet på WAN-grensesnittet. Ikke glem å gjøre det samme for IPv6 , som er der mange gjør feil og lar døren stå åpen mens de lukker den for IPv4.
Det anbefales også på det sterkeste å deaktivere båndbreddetestserveren og begrense Layer 2-tilgang ved å slå av MAC-Telnet og MAC-WinBox på ikke-administrasjonsgrensesnitt. Til slutt er den mest profesjonelle tilnærmingen å sentralisere logger på en ekstern server (Syslog), slik at selv om en angriper sletter spor på ruteren, har du fortsatt en oversikt over hva som skjedde på overvåkingsserveren din.
For å holde nettverket sikkert er det viktig å kombinere umiddelbare fastvareoppdateringer med en drastisk reduksjon av angrepsflaten, eliminere eventuelle administrasjonstjenester som er eksponert for internett og overvåke indikatorer på kompromittering, som driftsbrukeren eller flagget status. Ekte sikkerhet er ikke avhengig av en enkelt patch, men snarere av en strategi for dyptgående forsvar som inkluderer VPN-segmentering, konstante konfigurasjonsrevisjoner og bruk av strenge brannmurer for både IPv4 og IPv6.