CERT Polska revela cadeia de ataques MikroTrick contra roteadores MikroTik

Resumo

• A cadeia de ataques MikroTrick combina duas vulnerabilidades do RouterOS que permitem assumir controle administrativo de roteadores sem senha, chave SSH ou autenticação completa.

  Essa combinação de falhas torna dispositivos MikroTik expostos à internet vulneráveis a comprometimento total sem qualquer credencial.

• A cadeia usa a falha de máquina de estados SSH (CVE-2026-67279) e uma injeção de argumentos no processo de login (CVE-2026-86060).

  A combinação de falhas explora uma sequência incorreta no handshake SSH e uma validação ausente de nomes de usuário, viabilizando o ataque remoto.

• Os ataques foram registrados a partir de 2 de setembro, um dia antes de a MikroTik lançar correções nas versões 6.49.21, 7.23.4 e 7.24.2 do RouterOS.

  O alerta mostra que os ataques já ocorriam antes mesmo da publicação das correções, exigindo que administradores atualizem rapidamente seus roteadores.

• A CERT Polska havia alertado em 5 de setembro que atacantes usavam falhas do RouterOS para assumir o controle de dispositivos com SSH acessível a partir de redes públicas, sem especificar quais eram as duas falhas.

  O alerta inicial confirmava a exploração ativa, mas não detalhava a técnica; a nova análise preenche essa lacuna.

• A falha CVE-2026-67279 permite que a fase de comandos seja iniciada sem autenticação do usuário, quando uma renegociação de chaves ocorre durante a etapa de autenticação.

  Isso derruba a sequência normal do SSH, permitindo execução de comandos sem confirmar a identidade do cliente.

• A CERT Polska reconstruiu a cadeia de ataque a partir das correções publicadas pela MikroTik, comparando o código corrigido com as versões antigas; a análise revelou que o programa de login passou a rejeitar nomes de usuário iniciados com hífen ou espaço e a desabilitar automaticamente contas privilegiadas chamadas 'ops'.

  As mudanças no código corrigido indicam que o fornecedor já tinha conhecimento dos ataques e apontam a assinatura clara da exploração: tentativa de login malsucedida seguida de criação de conta admin.