MikroTrick. RouterOS z SSH na świat i pełne przejęcie bez hasła
Nie będzie tu kodu exploita ani checklisty „jak sprawdzić cudzy router”. CERT Polska i tak napisał ostrzeżenie dla administratorów, a nie tutorial dla skryptu kiddiego. Interesuje mnie coś prostszego: ile urządzeń MikroTik wisi z SSH na publicznym IP i co znaczy, gdy dwie luki składają się w pełne przejęcie bez logowania.
5 września 2026 CERT Polska ogłosił, że zidentyfikował i koordynował ujawnienie sześciu podatności w RouterOS. Dwie z nich, nazwane łącznie MikroTrick, przy włączonym zdalnym SSH pozwalają przejąć urządzenie bez uwierzytelniania. Ataki w internecie już idą. Poprawki są. Kto nie zaktualizuje, zostawia edge otwarty.
Co dokładnie poszło nie tak
Opis CERT jest konkretny, bez PoC. CVE-2026-67276 (CVSS 9.2): RouterOS źle weryfikował klucze publiczne SSH. Nie porównywał całego klucza RSA przypisanego użytkownikowi. Ktoś znający nazwę konta i publiczny moduł klucza mógł podstawić inny materiał i wejść na uprawnienia ofiary. CVE-2026-86060 (też 9.2): błąd w obsłudze nazw użytkowników SSH z niedozwolonym znakiem na początku dawał eskalację do pełnych uprawnień administracyjnych.
Razem: wejście i admin. Stąd nazwa MikroTrick. Obok leżą inne błędy (bandwidth-test, certyfikaty X.509, WebFig). Najważniejsza dla praktyki jest para SSH plus fakt, że ktoś już to odpala na żywych boxach.
MikroTik wydał poprawki w 7.25beta3, 7.24.2, 7.23.4 i 6.49.21. Przy tej aktualizacji po raz pierwszy w historii poszło też powiadomienie push z aplikacji MikroTik. To drobiazg w komunikacie, a mówi sporo o skali: producent uznał, że mail i changelog nie wystarczą.
Ataki w toku, nie hipotetyczne
CERT pisze wprost: w ostatnich dniach widzieli ataki na RouterOS wystawione do internetu. Potwierdzili, że MikroTrick służy do pełnego przejęcia, gdy SSH jest dostępne z publicznych sieci. Poprawione wydania mają to zatrzymywać.
W logach RouterOS zostawały m.in. wpisy o nieudanym logowaniu użytkownika -2 przez SSH oraz o dodaniu użytkownika przez ssh:-2@…. Dodatkowy wskaźnik: wysoko uprzywilejowane konto ops. CERT podaje też adresy IP obserwowane przy udanych przejęciach i przy próbach (od ok. 2 września). To IoC dla obrony, nie mapa celów. Brak tych śladów i tak nie wyklucza kompromitacji.
Tu wraca stary problem edge: router w biurze, u dostawcy, w mieszkaniu, z WinBoxem „na chwilę” i SSH otwartym „żeby zdalnie wejść”. Ten sam wzorzec, który przy infostealerach kończy się sesją, tu kończy się skrzynką, która trzyma trasy, VPN, Wi-Fi i czasem dostęp do reszty sieci.
Flagged: ostrzeżenie, nie wyrok
W poprawionych buildach MikroTik dodał mechanizm, który przy starcie szuka znanych śladów nieautoryzowanych zmian, wyłącza podejrzane wpisy, loguje komunikat krytyczny i ustawia znacznik Flagged. Wykrywa tylko wybrane artefakty. Brak flagi nie znaczy „czysto”. CERT podkreśla to osobno: Flagged to sygnał możliwej wcześniejszej kompromitacji, nie dowód konkretnego CVE z ich listy i nie gwarancja, że innych luk nie było.
Jeśli urządzenie wygląda na przejęte (flaga, logi, obce konta, skrypty, proxy, tunele), procedura jest nudna i właściwa: izolacja, zabezpieczenie logów i konfiguracji według wskazówek CERT, zgłoszenie do CSIRT, potem factory reset i konfiguracja od zaufanego źródła. Nie wklejasz ślepo starego backupu z przejętego boxa. Haseł, kluczy i sekretów nie zostawiasz starych.
Do czasu patcha CERT zaleca środki tymczasowe: wyłączyć albo ograniczyć SSH, WWW/WWW-SSL i bandwidth-test do zaufanych sieci zarządzania; nie odpalać z niezaktualizowanego urządzenia klientów SSH/TLS w stronę niezaufanych hostów. To redukuje powierzchnię. Nie zastępuje aktualizacji.
LLM w laboratorium, nie „AI znalazło samo”
Na końcu komunikatu jest wątek, którego nie da się zignorować w 2026. Podatności wyszły z zespołu CERT przy użyciu modeli GPT-5.5-cyber i GPT-5.6-sol w programie OpenAI GTAC. Agent w izolowanym labie pomagał stawiać maszyny, porównywać wersje, czytać RFC i binarki, budować skrypty potwierdzające błędy. Szczególnie działało modelowanie protokołów jako maszyn stanów i testowanie kolejności kroków.
CERT pisze też drugą połowę zdania: nie wystarczył jeden prompt. Hipotezy szły na prawdziwy RouterOS, z kontrolami negatywnymi, czystym stanem maszyny i oceną wpływu przez ludzi. Najwięcej roboty zjadło przygotowanie labu, kontekstu o systemie i weryfikacja. Modele przyspieszyły eksplorację. Nie zastąpiły badaczy.
Dla tego dziennika to ważniejsze niż marketing „AI znalazło lukę”. Pokazuje, że edge firmware da się dziś prześwietlać szybciej, a poprawki i tak muszą wyjść od producenta, zanim skrypty w internecie dogonią changelog.
Dlaczego publikacja poszła szybko
CERT tłumaczy tryb przyspieszony: poprawione pakiety są już publiczne, społeczność potrafi odtworzyć część usuniętych błędów z diffów. Dlatego ograniczają opis do tego, czego potrzebuje admin, i nie wrzucają kodu ułatwiającego automatyzację ataków. Sensowna linia. Trzymam się jej też tutaj.
Jeśli masz MikroTika z zarządzaniem z internetu: aktualizacja, sprawdzenie Flagged i logów, przegląd kont i skryptów. Jeśli SSH nie musi wisieć na 0.0.0.0, nie powinno. Reszta to opsec sprzętu na brzegu sieci, nie magia marki routera.
MikroTrick nie opowiada o hakowaniu Wi-Fi sąsiada. Opowiada o tanim, popularnym edge z otwartym SSH, który staje się punktem wejścia do wszystkiego, co za nim stoi. CERT dał wersje, IoC i procedurę. Reszta należy do tego, kto ten box wystawił na świat.