Una catena di vulnerabilità critiche in MikroTik RouterOS consente ai criminali informatici di prendere il controllo totale dei router con SSH esposto. Attacchi attivi sono stati confermati, mentre oltre 120.000 dispositivi restano a rischio in tutto il mondo.
Un'ondata di compromissioni sta travolgendo i router MikroTik con servizi SSH accessibili da Internet: i criminali informatici sfruttano una catena di vulnerabilità appena rivelate per ottenere il pieno controllo dei dispositivi, con attacchi già confermati in corso.
Il cuore della minaccia è la combinazione di due falle critiche: CVE-2026-67276, che permette di bypassare l'autenticazione SSH tramite una validazione incompleta delle chiavi RSA, e CVE-2026-86060, che consente l'escalation dei privilegi tramite la manipolazione di username appositamente costruiti. Basta conoscere il nome utente e il modulo pubblico della chiave per aggirare la sicurezza, mentre la seconda falla trasforma una sessione SSH in un accesso amministrativo totale.
Come funziona la catena di attacco MikroTrick
La catena di exploit, battezzata "MikroTrick" dal CERT polacco, è stata scoperta grazie al supporto di GPT-5.5-cyber e GPT-5.6-sol. Gli attaccanti sfruttano le due vulnerabilità in sequenza: prima aggirano l'autenticazione SSH, poi ottengono privilegi di amministratore, prendendo il controllo completo del router. Il CERT polacco ha confermato che la campagna è attiva e colpisce dispositivi con SSH esposto su reti pubbliche.
Tra gli indicatori di compromissione segnalati figurano log come 'login failure for user -2 from via ssh' e 'user added by ssh:-2@', la presenza di un account ops con privilegi elevati e connessioni sospette dagli IP 82.192.72.4 (attacchi riusciti) e 103.102.31.18 (tentativi di exploit). Il CERT sottolinea che l'assenza di questi marker non garantisce l'integrità del dispositivo.
Impatto e contromisure per gli utenti MikroTik
Il rischio è concreto: secondo The ShadowServer Foundation, al 5 settembre risultano 122.500 dispositivi MikroTik con interfaccia SSH esposta. Non è stato possibile stimare quanti siano effettivamente vulnerabili, ma la superficie d'attacco resta ampia. Oltre alle due falle principali, il CERT ha segnalato anche CVE-2026-67277, che permette a un attaccante non autenticato di leggere memoria kernel o causare crash e riavvii tramite il servizio bandwidth-test.
MikroTik ha rilasciato le patch nei firmware 7.25beta3, 7.24.2, 7.23.4 e 6.49.21 il 3 settembre, introducendo anche un meccanismo di rilevamento delle compromissioni che disabilita configurazioni sospette e avvisa l'utente. Tuttavia, la società non ha fornito dettagli sulle configurazioni a rischio, lasciando agli utenti il compito di aggiornare tempestivamente.
Per chi non può aggiornare subito, il CERT raccomanda di isolare il router, salvare log e configurazione, eseguire un reset di fabbrica e ricostruire la configurazione da zero, ruotando tutte le credenziali. In alternativa, è consigliato disabilitare o limitare l'accesso esterno a SSH, WWW/WWW-SSL e bandwidth-test, evitando client SSH integrati e connessioni TLS in uscita su reti non fidate.
Il contesto di una minaccia in evoluzione
La pressione sui router e gateway esposti non è nuova: come riportato recentemente, botnet modulari come Evooo1Bot sfruttano vulnerabilità note per trasformare i dispositivi in nodi proxy e lanciare attacchi su larga scala. La rapidità con cui vengono sfruttate nuove falle dimostra che la sicurezza dei router di frontiera resta un anello debole, spesso trascurato da aziende e utenti domestici.
La realtà è che la finestra tra la scoperta di una vulnerabilità e il suo sfruttamento attivo si è ridotta a pochi giorni, se non ore. Chi gestisce dispositivi MikroTik non può più permettersi di rimandare aggiornamenti o sottovalutare l'esposizione dei servizi critici. L'inerzia e la mancanza di trasparenza sulle configurazioni a rischio da parte del vendor aggravano la situazione: la responsabilità di proteggere la rete ricade interamente su chi la gestisce. In un panorama dove ogni router esposto può diventare un'arma nelle mani dei criminali, la reattività e la consapevolezza sono ormai l'unica vera difesa.
