MikroTik's 'MikroTrick'-routerbugs: twee staan op de KEV-lijst, één niet

MikroTik bracht op 3 september 2026 patches uit voor drie RouterOS-kwetsbaarheden, nadat er bewijs was dat aanvallers ze een dag eerder al begonnen te misbruiken. Twee van de drie — CVE-2026-86060 en CVE-2026-67277 — staan in CISA's catalogus met bekende misbruikte kwetsbaarheden (Known Exploited Vulnerabilities), toegevoegd op 10 september met een hersteldeadline van 13 september die inmiddels is verstreken. De derde, CVE-2026-67276, is het startpunt van de aanvalsketen die onderzoekers MikroTrick noemen, maar is op het moment van schrijven zelf nog niet aan de KEV-catalogus toegevoegd, ook al bestempelen zowel het Canadian Centre for Cyber Security als CERT Polska de kwetsbaarheid als actief misbruikt.

Hoe de MikroTrick-keten werkt

CVE-2026-67276 (CVSS 9.2) is een SSH-authenticatiebypass: onvolledige validatie van RSA-publieke sleutels stelt een aanvaller die een gebruikersnaam en de publieke modulus van de sleutel van die gebruiker kent in staat een andere sleutel te vervalsen en in te loggen zonder de echte privésleutel. CERT Polska noemde de tweefasige keten "MikroTrick" omdat die bypass samenwerkt met CVE-2026-86060 (CVSS 9.2), een privilege-escalatiebug die wordt geactiveerd door een speciaal vervaardigde SSH-gebruikersnaam, om de aanvaller volledige administratieve controle te geven. De derde bug, CVE-2026-67277 (CVSS 8.8), is een afzonderlijke, niet-geauthenticeerde kwetsbaarheid in de RouterOS-bandbreedtetestservice die kernelgeheugen kan lekken of het apparaat kan laten crashen — eerder een denial-of-servicerisico dan een weg naar admin-toegang, maar bereikbaar zonder inloggegevens.

Omvang

De Shadowserver Foundation telde begin september in één scan meer dan 122.500 internet-facing RouterOS SSH-instanties — een grote populatie apparaten die per ontwerp bereikbaar zijn, aangezien RouterOS gangbare edge- en gatewayapparatuur is voor isp's en kleine bedrijven.

Wat te doen

• Patch naar RouterOS 7.25beta3, 7.24.2 (Stable), 7.23.4 of later op de Long-Term-tak, of 6.49.21 op Legacy Long-Term — MikroTik bracht later 7.23.5 uit nadat er een IPv6 DHCP-regressie opdook in 7.23.4, dus gebruik de nieuwste onderhoudsbuild op die tak in plaats van te stoppen bij 7.23.4.
• Houd SSH uit op niet-vertrouwde netwerken, ongeacht de patchstatus.
• Controleer na de upgrade de "Flagged"-statusindicator van RouterOS, plus logs op onbekende gebruikers, scripts of configuratiewijzigingen.
• Behandel elk apparaat dat vóór het patchen via internet bereikbaar was als kandidaat voor bewijsbehoud vóór isolatie of een fabrieksreset.

Bronnen: MikroTik-beveiligingsbulletin september 2026, Canadian Centre for Cyber Security AL26-020.