Δύο ευπάθειες στο MikroTik RouterOS SSH, όταν συνδυάζονται, επιτρέπουν στους επιτιθέμενους να αποκτήσουν πλήρη διοικητικό έλεγχο των δρομολογητών που εκτίθενται στο Διαδίκτυο χωρίς κωδικό πρόσβασης, κλειδί SSH ή ολοκληρωμένη αυθεντικοποίηση.
Δείτε επίσης: Το MikroTik botnet χρησιμοποιεί εγγραφές SPF DNS για τη διάδοση malware
Όπως είχε αναφερθεί προηγουμένως, η CERT Polska προειδοποίησε στις 5 Σεπτεμβρίου ότι οι επιτιθέμενοι εκμεταλλεύονταν αδυναμίες στο RouterOS για να καταλάβουν συσκευές των οποίων η υπηρεσία SSH ήταν προσβάσιμη από δημόσια δίκτυα. Αυτή η προειδοποίηση επιβεβαίωσε την εκμετάλλευση και κάλεσε για άμεση επιδιόρθωση, αλλά δεν προσδιόρισε ποιες δύο αδυναμίες σχημάτιζαν την αλυσίδα ή εξήγησε πώς συνδυάζονταν. Αυτή η τελευταία ανάλυση παρέχει και τα δύο.
Το SSH απαιτεί τρία βήματα με σειρά: καθιερώνει μια κρυπτογραφημένη σύνδεση, πιστοποιεί τον χρήστη και μόνο τότε επιτρέπει στον πελάτη να ανοίξει μια συνεδρία και να εκτελέσει εντολές. Ο διακομιστής στέλνει ένα συγκεκριμένο μήνυμα (SSH_MSG_USERAUTH_SUCCESS) για να επιβεβαιώσει ότι η αυθεντικοποίηση έχει περάσει.
Το CVE-2026-67279 διακόπτει αυτή τη σειρά. Αν ένας πελάτης ξεκινήσει μια επαναδιαπραγμάτευση κλειδιού SSH κατά τη διάρκεια του βήματος αυθεντικοποίησης, το ευάλωτο RouterOS προχωρά κατευθείαν στη φάση εντολών όταν η επαναδιαπραγμάτευση ολοκληρωθεί, χωρίς ποτέ να επιβεβαιώσει την ταυτότητα του χρήστη. Η αδυναμία δεν δημιουργεί μια αυθεντικοποιημένη συνεδρία ή παρέχει οποιαδήποτε προνόμια από μόνη της, αλλά επιτρέπει σε έναν μη αυθεντικοποιημένο πελάτη να φτάσει σε ένα στάδιο που θα έπρεπε να απαιτεί ολοκληρωμένο login.
Το CVE-2026-86060 μετατρέπει αυτή την πρόσβαση σε πλήρη διοικητικό έλεγχο. Το RouterOS εκκινεί ένα πρόγραμμα σύνδεσης (/nova/bin/login) που λαμβάνει το όνομα χρήστη και ένα επίπεδο προνομίων από τον δαίμονα SSH ως επιχειρήματα γραμμής εντολών, χωρίς να ελέγχει πρώτα το όνομα χρήστη. Μια τιμή που ξεκινά με παύλα θεωρείται ως επιλογή προγράμματος αντί για όνομα. Ο επιτιθέμενος στέλνει -2 ως όνομα χρήστη. Το πρόγραμμα σύνδεσης το αντιμετωπίζει ως εντολή να διαβάσει την ταυτότητά του και το επίπεδο προνομίων από τον περιγραφέα αρχείου 2, που δείχνει στο τερματικό που δημιούργησε η συνεδρία SSH.
Μέσω του καναλιού SSH, ο επιτιθέμενος έχει ήδη γράψει ένα επιλεγμένο όνομα χρήστη και την τιμή προνομίων για πλήρη διοικητική πρόσβαση σε αυτό το τερματικό. Το πρόγραμμα σύνδεσης αποδέχεται και τα δύο και ανοίγει μια πλήρως προνομιούχα κονσόλα.
Δείτε επίσης: Η OVHcloud κατηγορεί την επίθεση DDoS στο botnet MikroTik
Αποδείξεις εκμετάλλευσης πριν από την επιδιόρθωση
Η αλυσίδα αφήνει ένα χαρακτηριστικό ίχνος στα αρχεία καταγραφής της συσκευής: μια αποτυχημένη προσπάθεια σύνδεσης για τον χρήστη -2. Η CERT Polska αναφέρει ότι αρχεία καταγραφής που ταιριάζουν με αυτό το μοτίβο εμφανίστηκαν στο φόρουμ της MikroTik ήδη από τις 2 Σεπτεμβρίου, μία ημέρα πριν οι επιδιορθώσεις γίνουν διαθέσιμες, και η ομάδα πιστεύει ότι η αλυσίδα εκμεταλλεύτηκε πριν η MikroTik κυκλοφορήσει τις διορθώσεις.
Μια διαγνωστική αναφορά στο φόρουμ της MikroTik δείχνει την ακολουθία επίθεσης σε μια συσκευή: απορριφθείσα αυθεντικοποίηση για -2, αναγκαστική επαναδιαπραγμάτευση, άλμα στη φάση καναλιού και αίτημα εκτέλεσης που προσπαθεί να δημιουργήσει έναν χρήστη με το όνομα ops με πλήρη προνόμια. Η διαδικασία SSH κατέρρευσε πριν ολοκληρωθεί η εντολή σε αυτή τη συσκευή.
Άλλες αναφορές επιβεβαίωσαν ότι ο λογαριασμός ops δημιουργήθηκε επιτυχώς σε επηρεαζόμενες συσκευές. Σε ορισμένα περιστατικά, η CERT Polska βρήκε δημιουργία διαγνωστικού αρχείου ακολουθούμενη από μεταφορές δεδομένων σε μια διεύθυνση IP του επιτιθέμενου, υποδεικνύοντας έντονα ότι τα δεδομένα διαμόρφωσης αντιγράφηκαν στην υποδομή του επιτιθέμενου.
Η αλυσίδα MikroTrick είναι το CVE-2026-67279 συνδυασμένο με το CVE-2026-86060. Ορισμένες δημοσιεύσεις έχουν συμπεριλάβει λανθασμένα μια τρίτη αδυναμία, το CVE-2026-67276, την οποία η CERT Polska λέει ότι είναι μια ξεχωριστή ευπάθεια SSH που επιτρέπει σε έναν επιτιθέμενο να παραποιήσει ένα κλειδί RSA για να συνδεθεί ως υπάρχων χρήστης. Αυτή η αδυναμία απαιτεί γνώση του ονόματος λογαριασμού και του δημόσιου κλειδιού του και παρέχει πρόσβαση μόνο σε αυτόν τον λογαριασμό. Η CISA πρόσθεσε το CVE-2026-86060 στον κατάλογο των γνωστών εκμεταλλευμένων ευπαθειών στις 10 Σεπτεμβρίου, επιβεβαιώνοντας ανεξάρτητα την ενεργή εκμετάλλευση της ευπάθειας έγχυσης επιχειρημάτων.
Η αλυσίδα απαιτεί το SSH να είναι προσβάσιμο από τον επιτιθέμενο. Η MikroTik λέει ότι η προεπιλεγμένη οικιακή διαμόρφωσή της δεν εκθέτει το SSH στο Διαδίκτυο, αλλά οι διαχειριστές που άλλαξαν τους κανόνες του τείχους προστασίας τους ή διαχειρίζονται συσκευές μέσω SSH από μη αξιόπιστα δίκτυα αντιμετωπίζουν μεγαλύτερο κίνδυνο. Δεν έχει δημοσιευθεί καμία αυθεντική καταμέτρηση των συμβιβασμένων συσκευών.
Δείτε επίσης: AWS Security Hub Extended: Νέα κατηγορία Supply Chain Security με Chainguard και Socket
Η επιδιόρθωση αποτρέπει την επίθεση αλλά δεν αφαιρεί τις αλλαγές που έκανε ένας επιτιθέμενος πριν την ενημέρωση. Μετά την ενημέρωση, οι χρήστες θα πρέπει να ελέγξουν τις διαμορφώσεις και τα αρχεία καταγραφής τους για οποιεσδήποτε μη εξουσιοδοτημένες αλλαγές.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
