MikroTik: цепочку MikroTrick атакуют, обновите RouterOS

С начала сентября 2026 года злоумышленники захватывают роутеры MikroTik, у которых SSH доступен из интернета. Польский CERT назвал цепочку уязвимостей MikroTrick: она даёт полный контроль над устройством. MikroTik выпустил исправления 3 сентября, но к концу месяца канадский Центр кибербезопасности добавлял в предупреждение всё новые CVE из каталога эксплуатируемых. MikroTik стоит во многих офисах, магазинах и на складах, поэтому новость касается и малого бизнеса.

Что произошло

CERT Polska 5 сентября сообщил об атаках и призвал немедленно обновиться. 22 сентября он опубликовал технический разбор, где уточнил состав цепочки. В неё входят две уязвимости:

• CVE-2026-67279 — ошибка в SSH: повторное согласование ключей во время входа переводит сервер в обработку канала без завершённой аутентификации.
• CVE-2026-86060 — специально подобранное имя пользователя заставляет программу входа прочитать маску прав из SSH-канала и выдать полные права администратора.

Ранние публикации, включая первый отчёт BleepingComputer, связывали с MikroTrick другую уязвимость, CVE-2026-67276 — подмену пользователя, который входит по RSA-ключу. CERT Polska пишет, что это отдельная уязвимость, но и она исправлена в тех же версиях. Ещё одна, CVE-2026-67277, касается службы bandwidth-test: без авторизации можно получить фрагменты памяти ядра или перезагрузить роутер. CERT Polska отмечает, что при поиске уязвимостей использовал ИИ-агентов.

Кого касается

Уязвимы роутеры с RouterOS до исправленных версий, у которых SSH, веб-интерфейс или bandwidth-test доступны из интернета. MikroTik сообщает, что затронуты не все конфигурации, и не раскрывает деталей, чтобы дать время на обновление.

Домашние устройства со стандартным файрволом MikroTik защищены: он по умолчанию закрывает порты управления снаружи. В бизнесе картина другая. Роутер часто настраивал приходящий администратор, который открыл SSH «чтобы подключаться удалённо», и с тех пор никто не заглядывал.

Что делать

1. Узнайте версию RouterOS: в WinBox или веб-интерфейсе в разделе System → Resources, или командой `/system resource print`. Проверьте её калькулятором ниже.
2. Обновитесь до 7.24.2, 7.23.4 или 6.49.21 и новее. Если ветка ниже 7.23, переходите на актуальную.
3. До обновления закройте из интернета SSH, WWW, WWW-SSL и bandwidth-test. Удалённое управление — только через VPN или со списка доверенных адресов.
4. Проверьте список пользователей. В атаках появлялась неизвестная учётная запись с полными правами, в отчётах — «ops».
5. Посмотрите журнал: признак атаки — неудачный вход SSH для пользователя «-2» и добавление пользователя через «ssh:-2@<IP>».
6. Если есть признаки взлома: отключите роутер от сети, сохраните журнал и конфигурацию, сбросьте к заводским настройкам, восстановите конфигурацию из проверенной копии и смените все пароли и ключи.

Встроенная проверка

Исправленные версии при загрузке ищут известные признаки несанкционированных изменений конфигурации, отключают вредоносные записи и пишут критическое предупреждение в журнал. CERT Polska предупреждает: если такой записи нет, это не доказывает, что роутер чист. Проверять вручную всё равно нужно.

Наше мнение

Роутер — самое забытое устройство в офисе. Его ставят один раз и вспоминают, когда пропадает интернет. При этом через него идёт весь трафик компании, а захваченный роутер может перенаправлять запросы, перехватывать незащищённые соединения и служить точкой входа во внутреннюю сеть.

Мы советуем раз в квартал заглядывать в роутер: версия прошивки, список пользователей, открытые наружу службы. Удалённое управление — только через VPN. И важно, чтобы доступы к роутеру были у компании, а не только у приходящего администратора: в аварии времени искать его телефон не будет.

Почему про ИИ здесь стоит упомянуть

CERT Polska прямо пишет, что использовал языковые модели при поиске уязвимостей. Это хорошая новость для защитников, но у неё есть обратная сторона: те же инструменты доступны атакующим. Срок между публикацией исправления и массовыми атаками сокращается, и правило «обновлю в следующем месяце» для пограничных устройств больше не работает.

Если у вас не MikroTik

История касается не только этой марки. В 2026 году атаковали межсетевые экраны и VPN-шлюзы крупных производителей, а старые домашние роутеры других брендов регулярно попадают в ботнеты. Общие правила одинаковы: управление роутером не должно быть доступно из интернета, прошивка обновляется хотя бы раз в квартал, пароль администратора уникальный и хранится у компании. Устройства, которые производитель перестал обновлять, стоит заменить.