- Атака MikroTrick об'єднує критичні SSH-вразливості, щоб обійти автентифікацію та підвищити привілеї до root-рівня.
- Активна експлуатація впливає на пристрої RouterOS, підключені до Інтернету, забезпечуючи повний контроль без необхідності введення паролів.
- Повне виправлення вимагає оновлення системи, закриття портів публічного керування та проведення ретельного аудиту стійкості.
Якщо у вас вдома або на роботі є роутер MikroTik, вам може бути цікаво дізнатися про серйозне попередження про небезпеку. Дослідники виявили вразливість під назвою MikroTrick , яка по суті є поєднанням недоліків безпеки, що дозволяє зловмисникам отримувати доступ до вашого пристрою без дозволу чи пароля. Найгірше те, що якщо ваш SSH-сервіс відкритий, зловмисник може отримати повний контроль над пристроєм, перетворивши ваш шлюз на центральний вузол для шпигунства за всім, що входить і виходить з вашої мережі.
Ця проблема не просто теоретична вправа; вона використовується в реальних ситуаціях . Ризик є критичним, оскільки той, хто контролює маршрутизатор, контролює трафік, може змінювати DNS-маршрути, щоб перенаправляти вас на фальшиві веб-сайти, або створювати бекдори для проникнення на ваші комп'ютери та внутрішні сервери. Простого використання довгого, складного пароля недостатньо, оскільки недолік криється в самій системі автентифікації. Це означає, що замок зламаний , і хакер може отримати доступ, просто маніпулюючи з'єднанням.
Анатомія атаки MikroTrick
Щоб зрозуміти, як це працює, важливо знати, що MikroTrick — це не окрема помилка, а ланцюг вразливостей. Першим елементом пазлу є CVE-2026-67279 . Зазвичай, коли ви підключаєтеся через SSH, існує суворий процес автентифікації, але ця вада виникає під час перекодування ключа. Зловмисник може примусово виконати цей процес, щоб маршрутизатор обійшов перевірку ідентичності та дозволив йому перейти до фази командного рядка без введення пароля.
Але отримання доступу – це лише початок; справжній удар завдає CVE-2026-86060 . Саме тут зловмисник підвищує привілеї. Система входу RouterOS неправильно фільтрує імена користувачів. Якщо хакер надсилає рядок, який починається з дефісу, а саме значення -2 , пристрій плутається та зчитує дозволи з внутрішнього каналу, контрольованого зловмисником. Таким чином, система надає їм повні права адміністратора з повітря, дозволяючи їм робити з пристроєм все, що завгодно.
Виявлено інші діри в безпеці
Хоча MikroTrick є основною темою дослідження, є й інші вразливості, які викликають справжнє занепокоєння. Наприклад, CVE-2026-67276 впливає на ключі RSA; зловмисник, який знає модуль авторизованого ключа, може підробити підпис, використовуючи показник степеня, що дорівнює одиниці, щоб обдурити систему та увійти як легітимний користувач.
З іншого боку, існує вразливість WebFig (CVE-2026-67281) , де недолік у проксі-сервері JavaScript дозволяє комусь, хто навіть не пройшов автентифікацію, читати конфіденційні системні файли , включаючи конфігурації, які можуть містити секретні ключі. Також було виявлено вразливість у інструменті перевірки пропускної здатності (CVE-2026-67277) , яка може призвести до перезавантаження маршрутизатора або витоку пам'яті ядра, та недолік у перевірці сертифіката X.509 (CVE-2026-67278), який дозволяє видати себе за віддалений сервер, якщо маршрутизатор ініціює TLS-з'єднання в незахищених мережах.
Як зрозуміти, що вас обдурили
Якщо ви підозрюєте, що ваш маршрутизатор було зламано, не перезавантажуйте його безладно, оскільки журнали зберігаються в пам'яті, і ви можете стерти докази. Перше, що потрібно зробити, це перевірити журнали на наявність користувача -2 або спроб входу з підозрілих IP-адрес, таких як 82.192.72.4 або 103.102.31.18 . Ще однією очевидною ознакою є виявлення користувача з ім'ям "ops" з повними привілеями, якого ви не створювали.
MikroTik реалізував функцію під назвою ПозначеноЯкщо після оновлення системи ви виконали команду /system device-mode print і ви бачите, що держава є такЦе означає, що маршрутизатор виявив сліди підозрілих модифікацій. Будьте обережні, якщо з'явиться немає Це також не означає, що ви на 100% чисті, оскільки система виявляє лише відомі закономірності, але статус «так» майже гарантовано підтверджує це. Хтось нишпорив навколо.
План дій у надзвичайних ситуаціях: Залатати та закріпити обладнання
Негайним рішенням є оновлення RouterOS. Залежно від вашої гілки, вам слід оновитися до версії 6.49.21, 7.23.4, 7.23.5 або 7.24.2 , відповідно. Але майте на увазі, що оновлення програмного забезпечення схоже на встановлення нового замка на двері, які вже були виламані: хакер міг залишити копію ключа. Ось чому важливо перевірити конфігурацію, шукаючи незвичайні скрипти, заплановані завдання в планувальнику або VPN-тунелі, які ви не розпізнаєте.
Щоб запобігти повторенню цього, золоте правило — видалити SSH з Інтернету . Якщо він вам не потрібен, вимкніть його. Якщо він необхідний, обмежте його певною IP-адресою або мережею керування. Те саме стосується WebFig: вимкніть HTTP та залиште HTTPS лише для адміністраторів. Майстерним рішенням буде налаштувати VPN з WireGuard та керувати маршрутизатором лише через цей тунель, закриваючи всі порти керування від зовнішнього світу.
Розширені заходи зміцнення
Тим, хто хоче максимально посилити безпеку, рекомендуємо використовувати списки адрес у вашому брандмауері . Створіть список під назвою MGMT-TRUSTED з вашими захищеними IP-адресами та налаштуйте брандмауер так, щоб він приймав підключення лише на портах керування з цієї групи, блокуючи все інше на інтерфейсі WAN. Не забудьте зробити те саме для IPv6 , де багато людей помиляються та залишають двері відчиненими, закриваючи двері для IPv4.
Також наполегливо рекомендується вимкнути сервер тестування пропускної здатності та обмежити доступ до рівня 2, вимкнувши MAC-Telnet та MAC-WinBox на інтерфейсах, які не призначені для управління. Нарешті, найпрофесійніший підхід полягає в централізації журналів на зовнішньому сервері (Syslog), щоб навіть якщо зловмисник видалить сліди на маршрутизаторі, у вас все одно був запис про те, що сталося на вашому сервері моніторингу.
Для забезпечення безпеки мережі важливо поєднувати негайні оновлення прошивки з різким зменшенням поверхні атаки, усуваючи будь-які служби управління, що піддаються доступу до Інтернету, та відстежуючи індикатори компрометації, такі як користувач ops або позначений статус. Справжня безпека не спирається на один патч, а на стратегію глибокого захисту , яка включає сегментацію VPN, постійні аудити конфігурації та використання суворих брандмауерів як для IPv4, так і для IPv6.