MikroTrick permite tomar control de routers MikroTik con SSH expuesto y ya se explota activamente

CERT Polska coordinó la divulgación de seis vulnerabilidades en MikroTik RouterOS y confirmó explotación activa de la cadena denominada MikroTrick. Los ataques observados desde al menos el 2 de septiembre apuntan a equipos cuyo servicio SSH está accesible desde redes públicas.

La cadena combina CVE-2026-67276, una verificación incompleta de claves RSA durante la autenticación SSH, con CVE-2026-86060, que manipula el inicio de sesión mediante un nombre de usuario especialmente construido. El resultado puede ser una sesión con privilegios administrativos sin disponer de la clave privada legítima.

Un router comprometido puede convertirse en punto de persistencia, interceptación o pivote hacia redes internas. CERT Polska identificó la creación de un usuario privilegiado llamado ops y eventos de registro asociados con accesos SSH anómalos, pero advierte que la ausencia de estas señales no demuestra que el equipo esté limpio.

RouterOS incorpora en las versiones corregidas un mecanismo Flagged que detecta y desactiva algunos cambios maliciosos conocidos. Este indicador ayuda al análisis, aunque no sustituye una revisión forense porque solo reconoce rastros seleccionados.

MikroTik distribuyó las correcciones en RouterOS 6.49.21, 7.23.4, 7.24.2 y 7.25beta3. Las restricciones de acceso reducen el riesgo mientras se actualiza, pero no reemplazan la instalación del parche.