MikroTik RouterOS: útočníci preberajú smerovače s otvoreným SSH, aktualizujte h…

Čo sa stalo

MikroTik 3. septembra 2026 vydal bezpečnostné aktualizácie systému RouterOS, na ktorom bežia jeho smerovače. Podrobnosti najprv zámerne nezverejnil, aby mali správcovia čas aktualizovať. Chyby objavil poľský národný tím CERT Polska. Ten 5. septembra 2026 zverejnil podrobnosti a útok, ktorý spája dve z nich, nazval „MikroTrick“.

Ide o dve chyby v prihlasovaní cez SSH, teda cez vzdialenú príkazovú konzolu smerovača. Prvá, CVE-2026-67276, umožňuje prihlásiť sa ako existujúci používateľ bez jeho súkromného kľúča. Druhá, CVE-2026-86060, umožňuje cez špeciálne upravené meno používateľa získať vyššie práva, než má účet mať. Podľa CERT Polska a SK-CERT spolu dávajú útočníkovi úplnú kontrolu nad zariadením bez prihlásenia, ak zariadenie umožňuje vzdialený prístup cez SSH.

Útoky už prebiehajú. CERT Polska potvrdil úspešné útoky na smerovače so SSH dostupným z internetu najmenej od 2. septembra 2026. Americká agentúra CISA zaradila CVE-2026-86060 do katalógu zneužívaných zraniteľností 10. septembra 2026 a pred útokmi varuje aj SK-CERT (Národné centrum kybernetickej bezpečnosti NBÚ). Výrobca aj CISA označujú ako zneužívanú aj ďalšiu chybu SSH z toho istého hlásenia, CVE-2026-67279. Podľa výrobcu umožňuje spúšťať príkazy bez prihlásenia. CISA ju do katalógu pridala 25. septembra 2026 a opravená je v tých istých verziách. Výrobca 6. októbra 2026 doplnil bulletin o všetkých šesť chýb z pôvodného hlásenia.

Prečo je to nebezpečné

Prvá chyba je v kontrole kľúča pri prihlásení. Predstavte si vrátnika, ktorý na preukaze porovná len fotku, ale meno už nie. RouterOS pri prihlásení kľúčom RSA neporovnával celý verejný kľúč používateľa, len jeho časť. Verejný kľúč nie je tajomstvo, takže útočník, ktorý poznal meno používateľa a jeho verejný kľúč, sa mohol prihlásiť aj bez súkromného kľúča. Získal tak práva napadnutého účtu.

Druhá chyba je klasická chyba pri spracovaní vstupu, keď program časť textu pochopí ako pokyn. Meno používateľa, ktoré začínalo zakázaným znakom, zmenilo práva, ktoré systém pripojeniu pridelil. Výsledkom bolo pripojenie s plnými právami správcu.

Útok sa dá vykonať cez internet bez hesla a bez zásahu používateľa. Útočník potrebuje prístup k portu SSH smerovača. Pri reťazci MikroTrick musí podľa CERT Polska navyše poznať meno používateľa a verejný kľúč RSA jeho účtu. Kto ovláda smerovač, môže meniť celé jeho nastavenie. Pri útokoch vznikol účet s vysokými právami a CERT Polska odporúča hľadať aj neznáme skripty, naplánované úlohy, proxy servery a tunely.

Databáza NVD hodnotí podľa CVSS 3.1 chybu CVE-2026-86060 na 9,8 z 10 bodov (kritická závažnosť) a CVE-2026-67276 na 8,1 (vysoká). CVE-2026-67279 má v NVD skóre 6,5. CERT Polska aj SK-CERT uvádzajú pre CVE-2026-86060 a CVE-2026-67276 skóre 9,2. Katalóg CISA KEV obsahuje len chyby, ktoré sa preukázateľne zneužívajú v reálnych útokoch. Skóre EPSS odhaduje pravdepodobnosť zneužitia v najbližších 30 dňoch. Pre CVE-2026-86060 je to 6,4 % a pre CVE-2026-67276 8,9 %, čo je viac než pri 93 %, resp. 95 % známych zraniteľností.

Koho sa to týka

Týka sa to smerovačov a ďalších zariadení MikroTik so systémom RouterOS. Používajú ich poskytovatelia internetu, firmy aj domácnosti a podľa SK-CERT ich vo svete beží niekoľko miliónov. Zraniteľné sú tieto verzie:

RouterOS 6 pred verziou 6.49.21
RouterOS 7, kanál long-term, pred verziou 7.23.4
RouterOS 7, kanál stable, pred verziou 7.24.2

Podľa záznamu NVD sa CVE-2026-67276 týka len RouterOS 7. Najviac ohrozené sú zariadenia so službou SSH dostupnou z internetu, napríklad na vzdialenú správu. Výrobca tiež odporúča neotvárať do internetu webové rozhranie WebFig, ktoré má ďalšiu chybu z toho istého hlásenia. Predvolená konfigurácia MikroTiku tieto porty z internetu blokuje. Podľa výrobcu väčšina konfigurácií nie je v ohrození a bežným domácim používateľom nehrozí bezprostredné riziko. Aktualizáciu však odporúča všetkým.

Ako zistiť, či ste zasiahnutí

Verziu zistíte vo WinBoxe alebo WebFigu v menu System > Packages, prípadne v termináli smerovača. Nasledujúce príkazy len čítajú a nič nemenia.

/system resource print

Ktoré služby sú zapnuté a z akých adries sú dostupné, ukáže tento príkaz. Ak SSH (ssh) alebo webové rozhranie (www, www-ssl) nemá obmedzenie na dôveryhodné adresy a neblokuje ho firewall, môže byť dostupné z celého internetu.

/ip service print

Na RouterOS 7 po aktualizácii skontrolujte, či zariadenie nemá označenie „Flagged“ (riadok flagged). Vo vetve RouterOS 6 tento údaj neexistuje.

/system device-mode print

Ako to opraviť

Opravy sú v RouterOS 7.24.2 (stable), 7.23.4 (long-term), 6.49.21 a v testovacej verzii 7.25beta3. Verzie 7.24.2 a 7.23.4 však obsahovali neúplnú opravu inej chyby z toho istého hlásenia (CVE-2026-67278), preto výrobca aj CERT Polska odporúčajú rovno novšie verzie:

RouterOS 7, kanál stable: 7.24.3 alebo novšia
RouterOS 7, kanál long-term: 7.23.6 alebo novšia
RouterOS 6: 6.49.21 alebo novšia

Začnite zariadeniami, ktoré majú SSH alebo WebFig dostupné z internetu. Postup:

Zálohujte a exportujte konfiguráciu a uložte ju mimo smerovača.
Overte, že zariadenie počas aktualizácie nestratí napájanie a má dosť voľného miesta.
V menu System > Packages kliknite na Check For Updates, vyberte svoj kanál (stable alebo long-term) a aktualizáciu nainštalujte tlačidlom Download&Install.
Ak ste v septembri aktualizovali na 7.24.2 alebo 7.23.4, aktualizujte znova.
Po reštarte skontrolujte log a konfiguráciu podľa ďalšej časti.

V termináli urobíte to isté týmito príkazmi. Druhý z nich aktualizáciu stiahne, nainštaluje a smerovač reštartuje.

/system package update check-for-updates
/system package update install

Kým aktualizáciu nenainštalujete, vypnite SSH, WWW/WWW-SSL a server bandwidth-test alebo k nim povoľte prístup len z dôveryhodných správcovských sietí. Ak cez tieto služby zariadenie sami spravujete, najprv si overte iný prístup, aby ste sa neodrezali. Nespúšťajte zo smerovača TLS pripojenia ani vstavaného SSH klienta (/system ssh, /system ssh-exec). Najlepšie je správcovské porty do internetu neotvárať vôbec a na vzdialenú správu použiť VPN, napríklad WireGuard. Sú to len dočasné opatrenia, aktualizáciu nenahrádzajú.

Vetva RouterOS 6 sa už aktívne nevyvíja a výrobca odporúča prejsť na verziu 7. Niektorí správcovia po aktualizácii na 6.49.21 hlásili problémy s tunelmi VPN, preto si pri dôležitých zariadeniach nechajte čas na kontrolu.

Čo ak už ste mohli byť napadnutí

Opravené verzie pri štarte prehľadajú konfiguráciu, vypnú rozpoznané podozrivé nastavenia, zapíšu kritické hlásenie do logu a nastavia označenie „Flagged“. Zachytia však len niektoré stopy, takže chýbajúce označenie neznamená, že je zariadenie čisté. CERT Polska a SK-CERT uvádzajú tieto znaky útoku:

neznámy používateľ s vysokými právami, najmä účet ops
neznáme skripty, naplánované úlohy, proxy servery a tunely
súbory ftpsrv.py, launch.sh a serve.py
pripojenia z adries 82.192.72.4 alebo 103.102.31.18
záznamy v logu podobné týmto:

login failure for user -2 from <ip> via ssh
user <name> added by ssh:-2@<ip>

Tieto príkazy len čítajú. Vypíšu používateľov, SSH kľúče, skripty, naplánované úlohy, proxy, rozhrania vrátane tunelov, súbory a dôležité záznamy v logu. Log uložený v pamäti smerovača sa reštartom vymaže.

/user print detail
/user ssh-keys print
/system script print
/system scheduler print
/ip proxy print
/ip socks print
/interface print
/file print
/log print where topics~"critical"
/log print where message~"user -2|ssh:-2"

Ak niečo z toho nájdete, považujte smerovač za prevzatý útočníkom. Odpojte ho od siete, zabezpečte logy a export konfigurácie a až potom obnovte továrenské nastavenia. Označenie „Flagged“ pred analýzou nemažte. Nastavte zariadenie nanovo z overenej konfigurácie, nie zo zálohy z napadnutého zariadenia, a zmeňte všetky heslá a kľúče. Incident nahláste SK-CERT (v Česku CSIRT.CZ alebo NÚKIB). Pri firemnej sieti prizvite odborníka, útočník sa mohol dostať ďalej.

Zdroje

Články zostavuje AI agent z verejných zdrojov (výrobcovia, CISA, ENISA, NVD, SK-CERT, NÚKIB) a čísla verzií aj CVE voči nim automaticky overuje. Pred zásahom do produkcie si postup vždy overte v bulletine výrobcu.

MikroTik RouterOS: útočníci preberajú smerovače s otvoreným SSH, aktualizujte hneď