Il CERT Polska ha individuato sei vulnerabilità in MikroTik RouterOS, il sistema dei router e switch MikroTik molto diffusi tra provider, aziende e reti domestiche avanzate. Due di queste, combinate, danno il controllo completo di un dispositivo senza credenziali, se il servizio SSH è raggiungibile da Internet. Gli attacchi sono in corso almeno dal 2 settembre.
La prima, CVE-2026-67276 con gravità 9,2, è di quelle che fanno sobbalzare chi si occupa di crittografia. RouterOS non confrontava l’intera chiave pubblica RSA assegnata a un utente: chi conosce il nome utente e la parte pubblica della chiave, può costruire una chiave diversa e accedere via SSH senza quella privata. La seconda, CVE-2026-86060, sfrutta un nome utente costruito ad arte durante il login per dare alla sessione più diritti del dovuto, fino a quelli di amministratore. Le altre quattro riguardano il servizio di test della banda, la verifica dei certificati e l’interfaccia web WebFig.
Un account chiamato «ops»
Negli attacchi riusciti è comparso un account amministrativo chiamato «ops». Nei log ci sono anche tentativi di accesso con nomi utente anomali come «-2». Chi ci sia dietro, non è stato detto.
I router MikroTik hanno una lunga storia come materia prima per le botnet. Nel 2021 Mēris ne aveva arruolati a decine di migliaia per lanciare alcuni dei più grandi attacchi DDoS mai registrati, sfruttando falle già corrette da anni. Un router compromesso permette di intercettare e deviare il traffico, entrare nella rete interna o fare da trampolino per altri attacchi.
MikroTik ha pubblicato le correzioni il 3 settembre nelle versioni 7.24.2 stable, 7.23.4 long-term, 6.49.21 e 7.25beta3, senza dettagli tecnici per dare tempo agli amministratori. Per la prima volta ha mandato anche una notifica push agli utenti della sua app.
Aggiorna RouterOS almeno alle versioni indicate per il tuo ramo. Poi chiudi SSH verso Internet, consentendolo solo da indirizzi fidati o tramite VPN, e fai lo stesso con WebFig, Winbox e il servizio di test della banda.
Lancia /user print e leggi l’elenco: se trovi «ops» o altri account che non conosci, il router è compromesso. Cerca nei log accessi SSH con nomi utente strani e verifica regole firewall, NAT, script e pianificazioni aggiunti di recente. In caso di compromissione, esporta la configurazione per analizzarla, reinstalla e cambia tutte le credenziali.
