Los fallos de router 'MikroTrick' de MikroTik: dos están en la lista KEV, uno no

MikroTik publicó parches para tres vulnerabilidades de RouterOS el 3 de septiembre de 2026, después de que hubiera pruebas de que los atacantes ya habían comenzado a explotarlas un día antes. Dos de las tres — CVE-2026-86060 y CVE-2026-67277 — figuran en el catálogo de Vulnerabilidades Conocidas Explotadas (KEV) de CISA, añadidas el 10 de septiembre con un plazo de corrección del 13 de septiembre que ya ha vencido. La tercera, CVE-2026-67276, es el punto de entrada de la cadena de ataque que los investigadores denominan MikroTrick, pero en el momento de redactar este texto aún no se ha añadido al catálogo KEV, aunque tanto el Canadian Centre for Cyber Security como CERT Polska la señalan como explotada activamente.

Cómo funciona la cadena MikroTrick

CVE-2026-67276 (CVSS 9.2) es una vulnerabilidad de omisión de autenticación SSH: una validación incompleta de las claves públicas RSA permite a un atacante que conoce un nombre de usuario y el módulo público de la clave de ese usuario falsificar una clave distinta e iniciar sesión sin la clave privada real. CERT Polska denominó a la cadena de dos etapas "MikroTrick" porque esa omisión se combina con CVE-2026-86060 (CVSS 9.2), un fallo de escalada de privilegios que se activa mediante un nombre de usuario SSH especialmente manipulado, para otorgar al atacante control administrativo total. El tercer fallo, CVE-2026-67277 (CVSS 8.8), es una vulnerabilidad independiente y sin autenticación en el servicio de prueba de ancho de banda de RouterOS que puede filtrar memoria del núcleo o bloquear el dispositivo: un riesgo de denegación de servicio más que una vía de acceso administrativo, pero alcanzable sin credenciales.

Magnitud

La Fundación Shadowserver contabilizó más de 122.500 instancias SSH de RouterOS expuestas a Internet en un solo escaneo a principios de septiembre: una gran población de dispositivos accesibles por diseño, ya que RouterOS es un equipo de borde y puerta de enlace habitual para proveedores de servicios de Internet y pequeñas empresas.

Qué hacer

• Aplique el parche a RouterOS 7.25beta3, 7.24.2 (Stable), 7.23.4 o posterior en la rama Long-Term, o 6.49.21 en Legacy Long-Term. MikroTik publicó posteriormente la 7.23.5 después de que apareciera una regresión de DHCP IPv6 en la 7.23.4, por lo que conviene usar la compilación de mantenimiento más reciente de esa rama en lugar de quedarse en la 7.23.4.
• Mantenga SSH fuera de las redes no confiables independientemente del estado del parche.
• Tras la actualización, compruebe el indicador de estado "Flagged" de RouterOS, además de los registros en busca de usuarios desconocidos, scripts o cambios de configuración.
• Trate cualquier dispositivo que fuera accesible desde Internet antes del parche como candidato a la preservación de pruebas antes de aislarlo o restablecerlo de fábrica.

Fuentes: Boletín de seguridad de MikroTik de septiembre de 2026, Canadian Centre for Cyber Security AL26-020.