To feil i SSH gir angripere full kontroll over MikroTik-rutere

CERT Polska offentliggjorde 5. september 2026 seks sårbarheter i MikroTik RouterOS, og advarte samtidig om at en kritisk kjede av dem allerede brukes mot rutere som er nåbare fra internett. Kjeden har fått navnet MikroTrick. Den kombinerer to feil i SSH-tjenesten, CVE-2026-67276 og CVE-2026-86060, begge med CVSS-verdi 9,2, til å omgå påloggingen og til slutt ta full administrativ kontroll over ruteren. CERT Polska har bekreftet utnyttelse siden minst 2. september, og oppgir at MikroTiks rettede versjoner stopper de observerte angrepene.

Rådet er å oppdatere straks til RouterOS 7.25beta3, 7.24.2, 7.23.4 eller 6.49.21, og deretter gå gjennom enheten etter ukjente brukere, skript, planlagte oppgaver, tunneler og andre konfigurasjonsendringer som kan tyde på at noen var inne først.

Hva det betyr for deg som har MikroTik-rutere mot internett

Vår erfaring er at MikroTik-utstyr ofte står der budsjettet er lite og funksjonslisten lang, i filialer, hos mindre nettleverandører og i virksomheter som satte det opp selv. Nettopp der står SSH gjerne åpent mot internett, fordi det var praktisk den dagen enheten ble satt opp. Kjeden trenger ikke passord. Den trenger bare å nå tjenesten. Full kontroll over ruteren betyr kontroll over trafikken bak den, mulighet til å sette opp tunneler ut, og et fotfeste for å gå videre inn i nettet.

Oppdateringen er første steg, men den fjerner ikke det angriperen alt har lagt igjen. En ny bruker, et skript som kjører ved oppstart, eller en tunnel til en adresse du ikke kjenner, overlever oppgraderingen. Har enheten stått åpen siden 2. september, bør du gå ut fra at den kan ha hatt besøk, og lete deretter. Er du i tvil om hva som er lagt inn, er en ren konfigurasjon fra en kjent sikkerhetskopi tryggere enn å rydde.

Berigo anbefaler

• Oppdater alle MikroTik-enheter til RouterOS 7.25beta3, 7.24.2, 7.23.4 eller 6.49.21 uten opphold.
• Steng SSH og andre administrasjonstjenester mot internett, og tillat dem bare fra kjente adresser eller over VPN.
• Gå gjennom hver enhet etter ukjente brukere, skript, planlagte oppgaver og tunneler, og sammenlign med en kjent god konfigurasjon.
• Er enheten mistenkt kompromittert, gjenopprett fra en sikkerhetskopi tatt før 2. september, og bytt alle passord og nøkler på den.
• Ta rutere og brannmurer inn i sårbarhetsoversikten, slik at neste varsel når riktig person samme dag.