Раскрыли цепочку уязвимостей MicroTrick в RouterOS: российские власти предупредили операторов, но патчи ставят не все

Польский CERT описал цепочку из двух уязвимостей в RouterOS, используемых при атаках на маршрутизаторы MikroTik. Эта цепочка позволяет злоумышленникам получить полный административный контроль над роутерами без пароля, ключа SSH или выполненной аутентификации, сообщает ведомство.

Ранее сообщалось об уязвимостях, которые могли использоваться при атаках на оборудование, однако цепочка тогда не получила полного описания. Тогда SecPost выяснил, что сейчас в России около 100 тыс. потенциально уязвимых устройств.

Цепочка получила название MicroTrick и состоит из нескольких брешей: уязвимость конечного автомата SSH CVE-2026-67279 работает в паре с ошибкой внедрения аргументов в процессе входа в RouterOS CVE-2026-86060. Исследователи отметили, что обычно SSH требует выполнения трех последовательных шагов, а именно установки зашифрованного соединения, аутентификации пользователя, а после этого и открытия клиенту сессии и разрешения ему выполнять команды.

26 сентября стало известно, что ФГУП «Главный радиочастотный центр» (ГРЧЦ), находящийся в подчинении Роскомнадзора, направил операторам требование проверить оборудование MikroTik, размещенное в сети, и устранить потенциальные угрозы. Еще с 11 сентября операторы начали получать письма от ведомства — в течение месяца регулятор направил всего три поручения, в которых говорится, что орган обнаружил бреши, которые необходимо устранить. ГРЧЦ заявил о необходимости обновления софта RouterOS, а до этого — отключить доступ к настройкам роутера через интернет, писал РБК.

Однако проблема, по всей видимости, остается актуальной для российских компаний.

«При выборочной проверке нескольких организаций в Перми я обнаружил устройства MikroTik с открытым в интернет SSH и неустановленными обновлениями. Среди примеров — промышленное предприятие и детский сад. Об обнаруженной проблеме я сообщил ответственным сотрудникам. В одной из организаций при повторной проверке спустя неделю обновления так и не были установлены», — заявил руководитель отдела системного администрирования Simpl Константин Ильиных в комментарии SecPost.

Эксперт объяснил: проблема может коснуться и провайдеров, включая региональных операторов. Ильиных выделил: есть зафиксированные случаи использования MikroTik в сети одного из операторов большой тройки — оборудование оказалось в его инфраструктуре после приобретения небольшого оператора. По наблюдениям собеседника редакции, на таком оборудовании SSH доступен из интернета. «Это не подтверждение взлома или наличия конкретной уязвимой версии, но такой доступ требует проверки», — уточнил Ильиных.

Как устроена уязвимость

Из описания цепочки, описанной польским CERT, следует, что обычно сервер отправляет сообщение (SSH_MSG_USERAUTH_SUCCESS), необходимое для успешной аутентификации. Уязвимость CVE-2026-67279 же нарушает алгоритм: если клиент начинает пересогласование SSH-ключа на этапе аутентификации, уязвимая система RouterOS переходит к шагу выполнения команд после завершения пересогласования, не подтверждая личность пользователя.

При этом исследователи выделили: сама по себе брешь не создает аутентифицированную сессию и не предоставляет привилегии, а позволяет неаутентифицированному пользователю дойти до этапа, который должен требовать завершенного входа в систему.

В свою очередь, CVE-2026-86060 делает такой доступ полным административным: RouterOS запускает программу авторизации (/nova/bin/login), получающую имя пользователя и уровень привилегий от daemon-SSH в качестве аргументов командной строки. Предварительное имя пользователя при этом не проверяется, а значение, начинающееся с дефиса, читается как параметр программы, а не как имя.

Daemon — фоновый процесс в операционной системе, который работает без прямого взаимодействия с пользователем и выполняет определенные системные задачи.

Таким образом, если злоумышленник отправит «-2» в качестве имени пользователя, программа может воспринять это как указание на чтение своего идентификатора и уровня привилегий из файлового дескриптора 2, указывающего на терминал, который был создан в ходе SSH-сессии. ПО в таком случае, приняв указанные параметры, открывает консоль с полными привилегиями.

Исследователи обратили внимание, что в логах устройства могут остаться следы атаки, а именно уведомление о неудачной попытке входа для пользователя «-2». Сообщения о похожих признаках на роутерах появились на форумах MikroTik 2 сентября, до выхода исправлений. В отчетах компании подтверждается случай, в котором учетная запись была успешно создана на затронутых устройствах. Некоторые же инциденты показывают создание диагностического файла с его последующей передачей на IP-адрес злоумышленников.

В отдельных публикациях, посвященных цепочке уязвимостей в MikroTik, упоминается третья брешь — CVE-2026-67276, однако исследователи заявили, что она является отдельной брешью и позволяет злоумышленникам подделывать ключ RSA для входа в систему уже от имени реального пользователя. Для эксплуатации брешь требует знания имени учетной записи и ее открытого ключа, предоставляя доступ только к этой учетной записи.

Для эксплуатации известной цепочки атакующим необходимо, чтобы SSH был доступен. В MikroTik заявили, что конфигурация домашней сети на их устройствах не предоставляет доступ к SSH из интернета, однако пользователи, изменившие настройки, подвергаются риску.

Отдельно специалисты отметили, что установка патча предотвращает атаку, но не удаляет изменения, которые были внесены злоумышленниками до обновления. В рамках мер безопасности пользователям рекомендуется после обновления проверить статус «помечено как уязвимое», выполнив при этом команду /system/device-mode/print.

В ходе исследования были выявлены IP-адреса атакующих — 82.192.72.4, обнаруженный в успешных атаках, и 103.102.31.18, который был использован при попытках эксплуатации.

Мнение экспертов

Директор департамента «Информационная безопасность» компании «Рексофт» Сергей Бабкин отметил, что маршрутизаторы MikroTik в России весьма распространены и в основном используются для постройки сетевой инфраструктуры малого и среднего предпринимательства. Роутеры, по словам эксперта, в меньшей степени используются в крупных компаниях.

Тем не менее Бабкин подчеркнул: в России эксплуатируется около 100 тыс. потенциально уязвимых маршрутизаторов MikroTik. «Учитывая их широкое применение в России, потенциальный риск достаточно велик. Если уязвимость позволяет получить административный доступ без пароля и авторизации, риску подвержено огромное количество устройств», — объяснил собеседник SecPost.

Собеседник SecPost из «Рексофта» уточнил, что атаки через упомянутые уязвимости могут повлечь за собой серьезные последствия: злоумышленники могут захватить либо ядро сети (которое часто используется для организации основных коммуникаций), либо периметр сети, представленный пограничным оборудованием для выхода в интернет или связи между офисами компаний.

Бабкин также отметил: для закрытия уязвимостей необходимо обновить операционную систему RouterOS до версий 6.49.21 (Long-term), 7.23.4 (Long-term) или 7.24.2 (Stable) и выше. «Фаерволы здесь вряд ли помогут, поскольку уязвимость, скорее всего, эксплуатируется через штатный трафик, не содержащий аномалий, которые можно отфильтровать. Это также делает такую атаку опасной», — подчеркнул эксперт.

Собеседник объяснил, что в случае, если в компании разрешено удаленное управление MikroTik, с помощью уязвимости можно получить доступ к устройству и без логина и пароля. Также Бабкин порекомендовал до установки патча ограничить удаленный доступ к оборудованию на фаерволе, отключив Winbox и API из недоверенных сетей.

Ильиных из Simpl, в свою очередь, заметил, что при успешной атаке злоумышленник получает административный контроль, после чего он может изменить настройки DNS и перенаправить пользователей на подставные ресурсы, например с целью кражи логинов и паролей. Другой возможный сценарий, представленный собеседником редакции, состоит в том, что злоумышленник способен включить захваченное оборудование в ботнет и использовать его для DDoS-атак на другие ресурсы.

Эксперт порекомендовал своевременно обновлять RouterOS, проверять, какие интерфейсы управления доступны из интернета, а также закрывать внешний доступ по SSH, чтобы исключить подобный вектор атаки. Ильиных выделил, что часто требования обновления игнорируются, даже при указании на опасность: «Предполагаю, что одной из причин может быть нехватка специалистов или необходимых компетенций».