Šta se desilo?

CERT Polska je opisao MikroTrick, lanac ranjivosti CVE-2026-67279 i CVE-2026-86060 u MikroTik RouterOS-u. Zajedno omogućavaju potpun administrativni pristup preko dostupnog SSH servisa bez lozinke ili privatnog SSH ključa. CERT je potvrdio zloupotrebu u napadima; najraniji javno dostupni logovi koje je analizirao potiču od 2. septembra 2026.

Koga pogađa?

Prema evidenciji CERT Polska, obe ranjivosti pogađaju RouterOS 6.x od 6.0.0 pre 6.49.21, granu 7.x od 7.0.0 pre 7.23.4 i granu 7.24 pre 7.24.2. Navedene gornje granice su ispravljene verzije i nisu uključene u pogođeni raspon.

Napadač mora moći da pristupi SSH servisu. MikroTik navodi da podrazumevana konfiguracija blokira pristup tom portu sa interneta, ali ručno otvoren pristup ili druga nepouzdana mreža povećavaju izloženost.

Kako se zaštititi?

  • Instalirajte najnovije odgovarajuće podržano izdanje RouterOS-a. MikroTrick je ispravljen u 6.49.21, 7.23.4 i 7.24.2.
  • Za RouterOS 7 uzmite u obzir i zasebnu CVE-2026-67278: njenoj potpunoj ispravci potrebne su najmanje 7.23.6 ili 7.24.3 u odgovarajućoj grani.
  • Ograničite SSH i ostale administratorske servise na pouzdane mreže ili pristup preko VPN-a.
  • Pregledajte korisnike, skripte, zadatke raspoređivača, proxy podešavanja i tunele zbog nepoznatih izmena.
  • Proverite logove za pokušaje prijave korisnika „-2“, nepoznati administratorski nalog „ops“ i upozorenje Flagged.
  • Ako pronađete znake napada, izolujte uređaj i sačuvajte logove i konfiguraciju pre sanacije prema uputstvu proizvođača.

Tehnički detalji

CVE-2026-67279 dopušta prelazak SSH veze na obradu kanala bez završene autentifikacije. CVE-2026-86060 je greška u obradi argumenata tokom prijave koja omogućava promenu maske privilegija. Kombinacija uklanja potrebu za validnim korisničkim kredencijalima.

CERT u posmatranim napadima povezuje korisničko ime „-2“ i kreiranje naloga „ops“ sa ovom tehnikom. Ti tragovi pomažu istrazi, ali njihovo odsustvo ne isključuje kompromitovanje. Isto važi za odsustvo oznake Flagged.

CVE-2026-67276, koja se ponekad pogrešno navodi kao deo MikroTricka, predstavlja zaseban problem sa RSA autentifikacijom. CVE-2026-67278 je takođe odvojena ranjivost: CERT navodi da su početne ispravke u 7.23.4 i 7.24.2 bile nepotpune, a da je ona rešena u 7.23.6 i 7.24.3.

Zašto je važno?

Administrativni pristup ruteru omogućava promenu mrežne konfiguracije i otvara mogućnost daljih zloupotreba. Zaštita SSH ključa ne zaustavlja lanac koji zaobilazi samu autentifikaciju. Potvrđena eksploatacija zahteva prioritetno ažuriranje dostupnih uređaja.

Preporuka Sajber Radara

Proverite verziju i izloženost administratorskih servisa, instalirajte odgovarajuće ažuriranje i pregledajte konfiguraciju. Zakrpa sprečava opisani napad, ali sama ne uklanja nužno naloge ili druge izmene koje je napadač već napravio.