I bug router "MikroTrick" di MikroTik: due sono in KEV, uno no

MikroTik ha distribuito le patch per tre vulnerabilità di RouterOS il 3 settembre 2026, dopo che le prove indicavano che gli attaccanti avevano già iniziato a sfruttarle il giorno precedente. Due delle tre — CVE-2026-86060 e CVE-2026-67277 — sono nel catalogo delle vulnerabilità note e sfruttate di CISA, aggiunte il 10 settembre con una scadenza di rimedio del 13 settembre che è ormai passata. La terza, CVE-2026-67276, è il punto d'ingresso della catena di attacco che i ricercatori chiamano MikroTrick, ma al momento in cui scriviamo non è stata ancora aggiunta al catalogo KEV, anche se sia il Canadian Centre for Cyber Security sia CERT Polska la segnalano come attivamente sfruttata.

Come funziona la catena MikroTrick

CVE-2026-67276 (CVSS 9,2) è una falla di bypass dell'autenticazione SSH: la validazione incompleta delle chiavi pubbliche RSA consente a un attaccante che conosce un nome utente e il modulo pubblico della chiave di quell'utente di forgiare una chiave diversa e accedere senza la vera chiave privata. CERT Polska ha chiamato la catena a due fasi "MikroTrick" perché quel bypass si combina con CVE-2026-86060 (CVSS 9,2), un bug di escalation dei privilegi innescato da un nome utente SSH appositamente creato, per consegnare all'attaccante il controllo amministrativo completo. Il terzo bug, CVE-2026-67277 (CVSS 8,8), è una falla separata e non autenticata nel servizio bandwidth-test di RouterOS che può far trapelare memoria del kernel o mandare in crash il dispositivo: un rischio di denial-of-service piuttosto che una via per l'accesso amministrativo, ma raggiungibile senza credenziali.

Scala

La Shadowserver Foundation ha contato più di 122.500 istanze SSH di RouterOS esposte su internet in una singola scansione all'inizio di settembre: una vasta popolazione di dispositivi raggiungibili per progettazione, dato che RouterOS è un'apparecchiatura edge e gateway comune per ISP e piccole imprese.

Cosa fare

• Applica la patch a RouterOS 7.25beta3, 7.24.2 (Stable), 7.23.4 o successiva sul ramo Long-Term, oppure 6.49.21 su Legacy Long-Term — MikroTik ha poi distribuito 7.23.5 dopo che una regressione DHCP IPv6 è emersa nella 7.23.4, quindi usa l'ultima build di manutenzione su quel ramo invece di fermarti alla 7.23.4.
• Tieni SSH fuori dalle reti non fidate indipendentemente dallo stato delle patch.
• Dopo l'aggiornamento, controlla l'indicatore di stato "Flagged" di RouterOS, oltre ai log per utenti sconosciuti, script o modifiche alla configurazione.
• Tratta qualsiasi dispositivo raggiungibile da internet prima della patch come candidato per la conservazione delle prove prima dell'isolamento o di un ripristino di fabbrica.

Fonti: Bollettino di sicurezza MikroTik settembre 2026, Canadian Centre for Cyber Security AL26-020.