MikroTrick – poważne podatności w routerach MikroTik. Jak sprawdzić, czy jesteś zagrożony?

Router MikroTik w małej firmie to zwykle urządzenie, o którym nikt nie myśli. Stoi w szafce albo pod biurkiem, świeci diodami i działa. Ktoś kiedyś włączył na nim zdalny dostęp, żeby „w razie czego” poprawić konfigurację bez dojazdu. Od tamtej pory nie było powodu, żeby cokolwiek ruszać.

5 września CERT Polska ogłosił, że taki scenariusz stał się problemem. Zespół zidentyfikował sześć podatności w RouterOS – systemie, na którym pracują routery MikroTik. Połączenie dwóch z nich nazwano MikroTrick.

Pozwala ono przejąć pełną kontrolę nad urządzeniem bez znajomości hasła, jeśli usługa SSH jest dostępna z internetu. To nie jest scenariusz laboratoryjny: CERT Polska potwierdził rzeczywiste włamania, prowadzone co najmniej od 2 września.

Dobra wiadomość jest taka, że problem dotyczy tylko części urządzeń, a sprawdzenie zajmuje kilka minut. Poniżej: jak to działa, jak sprawdzić swój router i co zrobić, jeśli coś wygląda podejrzanie.

Jak dochodzi do przejęcia routera MikroTik

SSH to protokół zdalnego zarządzania – pozwala administratorowi połączyć się z urządzeniem i wydawać mu polecenia tekstowe. Sam w sobie jest bezpieczny; problemem był sposób, w jaki RouterOS sprawdzał, kto się loguje.

Pierwsza luka (CVE-2026-67276) polegała na tym, że RouterOS nie porównywał całego klucza publicznego RSA przypisanego do konta. Atakujący, który znał nazwę użytkownika i jawną część klucza, mógł przygotować inny klucz i zalogować się bez pasującego klucza prywatnego. Dotyczy to jednak wyłącznie kont ze skonfigurowanym logowaniem kluczem SSH.

Druga (CVE-2026-86060) pozwalała odpowiednio spreparowaną nazwą użytkownika podnieść uprawnienia sesji do poziomu administratora. Razem tworzą łańcuch: wejście bez hasła, a potem pełna kontrola. Trzecia opisana podatność (CVE-2026-67277) dotyczy usługi bandwidth-test i pozwala wyciągnąć fragment pamięci urządzenia albo je zrestartować.

Nie znaczy to, że konfiguracja oparta tylko na haśle jest bezpieczna. Wśród pozostałych podatności są bowiem takie, które pozwalają nieuwierzytelnionemu atakującemu wykonać polecenie przez SSH. Inne pozwalają odczytać przez WebFig pliki konfiguracyjne z danymi logowania. Wystawiony port zarządzania jest problemem niezależnie od metody uwierzytelniania.

Kogo to dotyczy? Każdego, kto ma router MikroTik lub inne urządzenie z RouterOS z usługą SSH, WWW albo bandwidth-test wystawioną do internetu. W praktyce są to firmy, dostawcy internetu i zaawansowani użytkownicy domowi.

Kogo nie dotyczy bezpośrednio: typowych routerów domowych z domyślną konfiguracją. MikroTik informuje, że domyślna konfiguracja blokuje dostęp do portu SSH z internetu. Większość konfiguracji nie jest więc zagrożona, ale producent i tak zaleca aktualizację wszystkim.

Zamknięty port zarządzania nie zamyka jednak tematu. Podatności obejmują także klienta SSH i obsługę certyfikatów. Dlatego do czasu aktualizacji CERT Polska odradza inicjowanie z routera połączeń TLS. Odradza też korzystanie z jego wbudowanych klientów SSH (/system ssh, /system ssh-exec), zwłaszcza w kierunku hostów spoza własnej sieci.

Co zrobić – krok po kroku

1. Sprawdź wersję. Połącz się z routerem MikroTik przez Winbox lub przeglądarkę (WebFig) i wejdź w System → Resources. Wersje z poprawką to 7.25beta3, 7.24.2, 7.23.4 oraz 6.49.21. Jeśli masz starszą – jesteś w grupie do aktualizacji. Sam łańcuch MikroTrick dotyczy gałęzi 7.x – urządzenia na 6.49.x są podatne na pozostałe luki z tej serii, ale opisanego przejęcia bez hasła nie dotyczą.
2. Zaktualizuj. System → Packages → Check For Updates → Download & Install. Router zrestartuje się sam. Rób to, mając fizyczny lub lokalny dostęp do urządzenia – gdyby aktualizacja poszła nie tak, nie zostaniesz odcięty. Zostań przy tej samej gałęzi: z 6.49.x aktualizuj do 6.49.21, a nie do 7.x. Zmiana głównej wersji systemu potrafi rozjechać konfigurację, więc lepiej zrobić ją osobno. Listę poprawionych wydań producent podaje w biuletynie bezpieczeństwa.
3. Sprawdź, co wystawiasz do internetu. W IP → Services zobacz kolumnę „Available From”. Wszystkie usługi z tej listy – ssh, www, www-ssl, api, api-ssl, winbox, telnet, ftp – ogranicz do adresów z Twojej sieci. Nieużywane natomiast po prostu wyłącz. CERT Polska wymienia jako szczególnie pilne SSH oraz WWW/WWW-SSL. Puste pole „Available From” oznacza dostęp z dowolnego adresu. Serwer bandwidth-test jest w osobnym miejscu – Tools → BTest Server (w terminalu /tool bandwidth-server). Jeśli go nie używasz, wyłącz go. Sprawdź też reguły firewalla w łańcuchu input oraz – jeśli router stoi za innym urządzeniem – czy nie jest na niego przekierowany port.

Te trzy kroki to kwestia kilku minut. Dwa kolejne zajmą więcej czasu, ale bez nich nie dowiesz się, czy ktoś nie był w urządzeniu wcześniej.

Sprawdź ślady wcześniejszego włamania

4. Po aktualizacji sprawdź, czy router nie został oznaczony. Nowe wersje RouterOS przy starcie szukają znanych śladów włamania. W razie wykrycia zapisują w logu wpis krytyczny i ustawiają status „Flagged”. Sprawdzisz go poleceniem /system/device-mode/print – wpisz je w Winboksie w oknie New Terminal albo w konsoli WebFiga. W tym stanie router działa, ale blokuje część operacji konfiguracyjnych, a rozpoznane podejrzane wpisy zostają automatycznie wyłączone. Flagi nie zdejmuj, zanim nie przejrzysz całej konfiguracji – i tak wymaga to fizycznego dostępu do urządzenia.
5. Przejrzyj konfigurację. Szukaj kont, których nie zakładałeś (CERT wskazuje na użytkownika o nazwie ops), nieznanych skryptów, zadań w harmonogramie, serwerów proxy i tuneli. W logach podejrzane są wpisy typu login failure for user -2 oraz user <nazwa> added by ssh:-2@<adres>. CERT Polska wskazuje, że skuteczne ataki prowadzono z adresu 82.192.72.4.

Jedno zastrzeżenie, które CERT Polska powtarza wprost: brak znacznika „Flagged” i brak podejrzanych wpisów w logach nie jest dowodem, że urządzenie jest czyste. Mechanizm ten wykrywa bowiem tylko wybrane ślady.

Co zrobić, gdy router MikroTik został przejęty

Jeśli widzisz nieznane konto, wpis o kompromitacji albo inne ślady – nie kasuj ich od razu i nie przywracaj kopii konfiguracji. Kolejność wygląda tak:

• odłącz urządzenie od sieci,
• zanim cokolwiek zresetujesz, zabezpiecz logi i konfigurację (CERT Polska opisuje procedurę w osobnym artykule na wiedza.cert.pl),
• zgłoś incydent – dla większości firm i osób prywatnych właściwym zespołem jest CSIRT NASK, a zgłoszenie składa się przez formularz na incydent.cert.pl,
• przywróć router do ustawień fabrycznych i skonfiguruj go od nowa na podstawie konfiguracji, której jesteś pewien,
• zmień hasła, klucze i inne sekrety, które przechodziły przez to urządzenie – również do kont, do których logowałeś się z tej sieci.

A jeśli odpowiadasz za IT w firmie?

• Zrób inwentaryzację. RouterOS bywa nie tylko w routerze brzegowym, ale też w przełącznikach, punktach dostępowych i zapomnianych urządzeniach radiowych.
• Potraktuj każdy wystawiony port zarządzania jako dług do spłacenia. Dostęp administracyjny powinien iść przez VPN, nie przez publiczny adres.
• Załóż, że brak śladów nie oznacza braku włamania, i zaplanuj weryfikację konfiguracji, a nie tylko aktualizację.
• Logi trzymaj poza urządzeniem – po resecie przejętego routera zostaje tylko to, co wyeksportowałeś wcześniej.
• Ustal, kto w firmie zgłasza incydent do CSIRT-u i na jakiej podstawie, zanim będzie potrzebny.

Podsumowanie #CyberPoLudzku

Największym problemem nie jest sama luka – łatka już jest. Problemem jest to, że routery należą do kategorii urządzeń, które „po prostu działają” i przez lata nikt do nich nie zagląda. Jak odnotowuje CERT Polska, MikroTik po raz pierwszy w historii wysłał powiadomienie push do użytkowników swojej aplikacji mobilnej. To dobra miara tego, jak pilna jest sprawa.

Sprawdzenie wersji i listy wystawionych usług w routerze MikroTik zajmuje kilka minut. Zrób to dziś, a nie w wolnej chwili.