MikroTik RouterOS, catena MikroTrick: due falle SSH per il controllo del router senza credenziali

Un indicatore di compromissione vale più di una descrizione tecnica: se sul router compare un'utenza SSH chiamata "-2" oppure "ops", il dispositivo è già stato preso. La catena, denominata MikroTrick dai ricercatori, combina due vulnerabilità in MikroTik RouterOS entrambe con score CVSS v4.0 pari a 9.2. La CVE-2026-67276 è un difetto di verifica nella validazione delle chiavi pubbliche RSA durante l'autenticazione SSH: RouterOS non confronta la chiave pubblica completa associata all'utente autorizzato, e una chiave alternativa costruita ad arte viene accettata, così un attaccante che conosca il nome utente e parte delle informazioni della chiave si autentica con i privilegi dell'account impersonato. La CVE-2026-86060 è una argument injection: RouterOS non gestisce correttamente i nomi utente che iniziano con caratteri non consentiti, e un nome predisposto viene interpretato come argomento da riga di comando dall'assistente di login SSH, permettendo di manipolare la maschera dei criteri della sessione ed elevarsi ad amministratore.

La sequenza temporale spiega perché l'aggiornamento da solo non basta. Lo sfruttamento è iniziato il 2 settembre 2026, un giorno prima che MikroTik pubblicasse le build corrette il 3 settembre: chi ha aggiornato appena disponibile potrebbe comunque avere un dispositivo già compromesso, e la persistenza qui si annida nelle utenze create dall'attaccante, che sopravvivono alla patch. Il CERT polacco ha pubblicato gli indicatori, compresi i nomi degli account creati e alcuni indirizzi IP di origine. Le stime sui dispositivi con SSH raggiungibile da internet parlano di oltre 122.000 apparati esposti, e le CVE sono entrate nel catalogo KEV della CISA.

La rilevanza per il tessuto italiano è concreta e riguarda soprattutto le realtà piccole. I MikroTik sono apparati di rete economici e capaci, diffusissimi presso PMI, studi professionali, piccoli comuni e operatori wireless locali: esattamente il segmento che gestisce il router senza un contratto di manutenzione, che lascia l'accesso SSH aperto per comodità dell'assistenza esterna e che non ha un processo di aggiornamento del firmware. Sono anche gli apparati che le botnet storicamente arruolano in massa, dalle campagne Mēris in avanti. A doversene preoccupare è chi ha un RouterOS con SSH raggiungibile dall'esterno: la prima verifica da fare non è la versione del firmware, è l'elenco degli utenti configurati.

• Versioni affette: MikroTik RouterOS dalla 7.24 alla 7.24.2 esclusa, dalla 7.0.0 alla 7.23.4 esclusa, dalla 6.0.0 alla 6.49.21 esclusa.
• Azione raccomandata: aggiornare RouterOS alla 7.24.2, 7.23.4 o 6.49.21 secondo il ramo in uso; prima ancora, verificare l'elenco delle utenze configurate e rimuovere gli account non riconosciuti, in particolare quelli denominati "-2" e "ops" segnalati come indicatori di compromissione; disabilitare l'esposizione del servizio SSH verso internet o limitarla a indirizzi noti; ruotare le chiavi SSH e le credenziali amministrative degli apparati esposti, dato che lo sfruttamento ha preceduto la patch.

Fonti: ACN, Cloud Security Alliance, Help Net Security, Security Affairs