MikroTik RouterOS: útočníci přebírají routery s otevřeným SSH, aktualizujte hned

Co se stalo

MikroTik 3. září 2026 vydal bezpečnostní aktualizace systému RouterOS, na kterém běží jeho routery. Podrobnosti nejprve záměrně nezveřejnil, aby správci měli čas aktualizovat. Chyby objevil polský národní tým CERT Polska. Ten 5. září 2026 zveřejnil podrobnosti a útok, který spojuje dvě z nich, pojmenoval „MikroTrick“.

Jde o dvě chyby v přihlašování přes SSH, tedy přes vzdálenou příkazovou konzoli routeru. První, CVE-2026-67276, umožňuje přihlásit se jako existující uživatel bez jeho soukromého klíče. Druhá, CVE-2026-86060, umožňuje pomocí speciálně upraveného uživatelského jména získat vyšší oprávnění, než má účet mít. Podle CERT Polska a slovenského SK-CERT dávají dohromady útočníkovi plnou kontrolu nad zařízením bez přihlášení, pokud zařízení umožňuje vzdálený přístup přes SSH.

Útoky už probíhají. CERT Polska potvrdil úspěšné útoky na routery se SSH dostupným z internetu nejméně od 2. září 2026. Americká agentura CISA zařadila CVE-2026-86060 do katalogu zneužívaných zranitelností 10. září 2026 a před útoky varuje i slovenský SK-CERT. Výrobce i CISA označují jako zneužívanou také další chybu SSH ze stejného hlášení, CVE-2026-67279. Podle výrobce umožňuje spouštět příkazy bez přihlášení. CISA ji do katalogu přidala 25. září 2026 a opravená je ve stejných verzích. Výrobce 6. října 2026 doplnil bulletin o všech šest chyb z původního hlášení.

Proč je to nebezpečné

První chyba je v kontrole klíče při přihlášení. Představte si vrátného, který na průkazu porovná jen fotku, ale jméno už ne. RouterOS při přihlášení klíčem RSA neporovnával celý veřejný klíč uživatele, jen jeho část. Veřejný klíč není tajemství, takže útočník, který znal jméno uživatele a jeho veřejný klíč, se mohl přihlásit i bez soukromého klíče. Získal tak oprávnění napadeného účtu.

Druhá chyba je klasická chyba ve zpracování vstupu, kdy program část textu pochopí jako pokyn. Uživatelské jméno, které začínalo zakázaným znakem, změnilo oprávnění, která systém spojení přidělil. Výsledkem bylo spojení s plnými právy správce.

Útok lze provést přes internet bez hesla a bez zásahu uživatele. Útočník potřebuje přístup k portu SSH routeru. U řetězce MikroTrick musí podle CERT Polska navíc znát jméno uživatele a veřejný klíč RSA jeho účtu. Kdo ovládá router, může měnit celé jeho nastavení. Při útocích vznikl účet s vysokými právy a CERT Polska doporučuje hledat i neznámé skripty, naplánované úlohy, proxy servery a tunely.

Databáze NVD hodnotí podle CVSS 3.1 chybu CVE-2026-86060 na 9,8 z 10 bodů (kritická závažnost) a CVE-2026-67276 na 8,1 (vysoká). CVE-2026-67279 má v NVD skóre 6,5. CERT Polska i slovenský SK-CERT uvádějí pro CVE-2026-86060 a CVE-2026-67276 skóre 9,2. Katalog CISA KEV obsahuje jen chyby, které se prokazatelně zneužívají v reálných útocích. Skóre EPSS odhaduje pravděpodobnost zneužití v příštích 30 dnech. U CVE-2026-86060 je to 6,4 % a u CVE-2026-67276 8,9 %, což je víc než u 93 %, resp. 95 % známých zranitelností.

Koho se to týká

Týká se to routerů a dalších zařízení MikroTik se systémem RouterOS. Používají je poskytovatelé internetu, firmy i domácnosti a podle slovenského SK-CERT jich ve světě běží několik milionů. Zranitelné jsou tyto verze:

RouterOS 6 před verzí 6.49.21
RouterOS 7, kanál long-term, před verzí 7.23.4
RouterOS 7, kanál stable, před verzí 7.24.2

Podle záznamu NVD se CVE-2026-67276 týká jen RouterOS 7. Nejvíc ohrožená jsou zařízení se službou SSH dostupnou z internetu, například kvůli vzdálené správě. Výrobce také doporučuje neotevírat do internetu webové rozhraní WebFig, které má další chybu ze stejného hlášení. Výchozí konfigurace MikroTiku tyto porty z internetu blokuje. Podle výrobce většina konfigurací není ohrožená a běžným domácím uživatelům nehrozí bezprostřední nebezpečí. Aktualizaci ale doporučuje všem.

Jak zjistit, zda jste zasaženi

Verzi zjistíte ve WinBoxu nebo WebFigu v menu System > Packages, případně v terminálu routeru. Následující příkazy jen čtou a nic nemění.

/system resource print

Které služby jsou zapnuté a z jakých adres jsou dostupné, ukáže tento příkaz. Pokud SSH (ssh) nebo webové rozhraní (www, www-ssl) nemá omezení na důvěryhodné adresy a neblokuje ho firewall, může být dostupné z celého internetu.

/ip service print

Na RouterOS 7 po aktualizaci zkontrolujte, zda zařízení nemá označení „Flagged“ (řádek flagged). Ve větvi RouterOS 6 tento údaj není.

/system device-mode print

Jak to opravit

Opravy jsou v RouterOS 7.24.2 (stable), 7.23.4 (long-term), 6.49.21 a v testovací verzi 7.25beta3. Verze 7.24.2 a 7.23.4 ale obsahovaly neúplnou opravu jiné chyby ze stejného hlášení (CVE-2026-67278), proto výrobce i CERT Polska doporučují rovnou novější verze:

RouterOS 7, kanál stable: 7.24.3 nebo novější
RouterOS 7, kanál long-term: 7.23.6 nebo novější
RouterOS 6: 6.49.21 nebo novější

Začněte zařízeními, která mají SSH nebo WebFig dostupné z internetu. Postup:

Zazálohujte a exportujte konfiguraci a uložte ji mimo router.
Ověřte, že zařízení během aktualizace nepřijde o napájení a má dost volného místa.
V menu System > Packages klikněte na Check For Updates, vyberte svůj kanál (stable nebo long-term) a aktualizaci nainstalujte tlačítkem Download&Install.
Pokud jste v září aktualizovali na 7.24.2 nebo 7.23.4, aktualizujte znovu.
Po restartu zkontrolujte log a konfiguraci podle další části.

V terminálu uděláte totéž těmito příkazy. Druhý z nich aktualizaci stáhne, nainstaluje a router restartuje.

/system package update check-for-updates
/system package update install

Dokud aktualizaci nenainstalujete, vypněte SSH, WWW/WWW-SSL a server bandwidth-test, nebo k nim povolte přístup jen z důvěryhodných správcovských sítí. Pokud přes tyto služby zařízení sami spravujete, nejdřív si ověřte jiný přístup, abyste se neodřízli. Nespouštějte z routeru TLS spojení ani vestavěného SSH klienta (/system ssh, /system ssh-exec). Nejlepší je správcovské porty do internetu neotevírat vůbec a pro vzdálenou správu použít VPN, například WireGuard. Jde jen o dočasná opatření, aktualizaci nenahrazují.

Větev RouterOS 6 se už aktivně nevyvíjí a výrobce doporučuje přejít na verzi 7. Někteří správci po aktualizaci na 6.49.21 hlásili potíže s tunely VPN, proto u důležitých zařízení počítejte s časem na kontrolu.

Co když už jste mohli být napadeni

Opravené verze při startu projdou konfiguraci, vypnou rozpoznaná podezřelá nastavení, zapíšou kritické hlášení do logu a nastaví označení „Flagged“. Zachytí ale jen některé stopy, takže chybějící označení neznamená, že je zařízení čisté. CERT Polska a slovenský SK-CERT uvádějí tyto známky útoku:

neznámý uživatel s vysokými právy, zejména účet ops
neznámé skripty, naplánované úlohy, proxy servery a tunely
soubory ftpsrv.py, launch.sh a serve.py
spojení z adres 82.192.72.4 nebo 103.102.31.18
záznamy v logu podobné těmto:

login failure for user -2 from <ip> via ssh
user <name> added by ssh:-2@<ip>

Tyto příkazy jen čtou. Vypíšou uživatele, SSH klíče, skripty, naplánované úlohy, proxy, rozhraní včetně tunelů, soubory a důležité záznamy v logu. Log uložený v paměti routeru se restartem smaže.

/user print detail
/user ssh-keys print
/system script print
/system scheduler print
/ip proxy print
/ip socks print
/interface print
/file print
/log print where topics~"critical"
/log print where message~"user -2|ssh:-2"

Pokud něco z toho najdete, považujte router za napadený. Odpojte ho od sítě, zajistěte logy a export konfigurace a teprve potom obnovte tovární nastavení. Označení „Flagged“ před analýzou nemažte. Nastavte zařízení znovu z ověřené konfigurace, ne ze zálohy z napadeného zařízení, a změňte všechna hesla a klíče. Incident nahlaste týmu CSIRT.CZ nebo NÚKIB (na Slovensku SK-CERT). U firemní sítě přizvěte odborníka, útočník se mohl dostat dál.

Zdroje

Články sestavuje AI agent z veřejných zdrojů (výrobci, CISA, ENISA, NVD, NÚKIB, SK-CERT) a čísla verzí i CVE proti nim automaticky ověřuje. Před zásahem do produkce si postup vždy ověřte v bulletinu výrobce.