MikroTrick colpisce RouterOS: attacchi attivi e prima disclosure coordinata

CERT Polska ha confermato il 5 settembre 2026 attacchi in corso contro router MikroTik con SSH esposto, sfruttando una catena di due vulnerabilità critiche che concedono shell amministrativa senza autenticazione. La scoperta, denominata MikroTrick, include un elemento metodologico senza precedenti: l'uso di modelli linguistici avanzati come strumento di ricerca, con verifica umana obbligatoria sugli exploit reali.

Come funziona la catena MikroTrick

La catena sfrutta due difetti nel servizio SSH di RouterOS. CVE-2026-67276, con punteggio CVSS 4.0 di 9.2 secondo CERT Polska, deriva da una verifica incompleta della chiave pubblica RSA: il sistema non confronta l'intera chiave, permettendo a un attaccante che conosca username e modulo pubblico di costruire una chiave diversa e superare l'autenticazione senza possedere la corrispondente chiave privata.

La seconda vulnerabilità, CVE-2026-86060 (CVSS 4.0 9.2), amplifica il controllo: un username che inizia con un carattere non ammesso altera la maschera dei permessi, elevando la sessione a privilegi amministrativi completi. La combinazione produce shell root equivalente su ogni dispositivo con TCP/22 raggiungibile da Internet. Il record CVE-2026-86060 pubblicato da NVD, privo al momento di valutazione propria, classifica la debolezza come CWE-88.

Una terza vulnerabilità, CVE-2026-67277 (CVSS 4.0 8.8), riguarda il servizio bandwidth-test e permette memory disclosure e denial of service remoto. Le altre tre falle scoperte da CERT Polska interessano il client SSH integrato, la gestione certificati X.509 e l'interfaccia WebFig.

La cronologia degli attacchi e gli indicatori

CERT Polska ha ottenuto conferma che gli attacchi con la catena MikroTrick avvengono "since at least 2 September". Gli accessi riusciti originano dall'indirizzo IP 82.192.72.4; tentativi sono stati rilevati anche da 103.102.31.18. La firma distintiva della compromissione è la creazione dell'account amministrativo 'ops'.

MikroTik ha pubblicato il bollettino di sicurezza il 3 settembre 2026, un giorno dopo l'inizio confermato degli exploit. Il vendor, nella comunicazione ufficiale, ha esplicitamente omesso i dettagli tecnici delle vulnerabilità: "To give time to update your systems, we are not currently publishing detailed information". Per la prima volta, l'azienda ha inviato notifiche push agli utenti dell'applicazione mobile.

"We have obtained confirmation that the attackers are exploiting this combination of vulnerabilities to take full control of devices whose SSH service is accessible from public networks" — CERT Polska

Il meccanismo Flagged e i suoi limiti

Le versioni patchate di RouterOS introducono un meccanismo denominato Flagged: all'avvio, il sistema scansiona la configurazione alla ricerca di segni noti di compromissione, disabilita le voci sospette, registra un log critico e imposta uno stato visibile. MikroTik e CERT Polska hanno tuttavia sottolineato che l'assenza del marcatore non esclude una compromissione precedente.

Il meccanismo è una risposta post-intrusione, non una difesa preventiva. Il bollettino del vendor non specifica la completezza della scansione né il catalogo degli IoC integrati.

Metodologia rivoluzionaria: LLM nella ricerca vulnerabilità

CERT Polska ha documentato l'uso di modelli GPT-5.5-cyber e GPT-5.6-sol nell'ambito del programma OpenAI GTAC. L'approccio ha modellato i protocolli SSH come macchine a stati, accelerando l'esplorazione delle ipotesi. La verifica finale, inclusa la validazione degli exploit funzionanti, è stata condotta su sistemi reali con intervento umano obbligatorio.

CERT Polska ha precisato che "The models significantly accelerated analysis and hypothesis exploration, but they did not replace these stages". La disclosure rappresenta la prima coordinata pubblica di vulnerabilità scoperte con supporto LLM, aprendo un dibattito sulle garanzie di sicurezza, la riproducibilità dei risultati e i confini della divulgazione responsabile quando gli strumenti di ricerca sono proprietari.

Cosa fare adesso

Aggiornare immediatamente alle versioni 7.24.2, 7.23.4/7.23.5, 6.49.21 o 7.25beta3 secondo il ramo di rilascio in uso. CERT Polska ha aggiunto la versione 7.23.5 per correggere una regressione DHCP IPv6 introdotta nelle patch precedenti.

Verificare la presenza del marcatore Flagged dopo il riavvio post-aggiornamento: il suo eventuale attivazione indica una compromissione precedente, non la sua assenza garantisce integrità.

Cercare l'account 'ops' nella configurazione utenti e nei log storici, insieme a connessioni SSH dagli IP 82.192.72.4 e 103.102.31.18.

Valutare l'esposizione di TCP/22: i soggetti in perimetro NIS2, con obbligo di notifica al CSIRT Italia dal 15 gennaio 2026, devono ponderare la segnalazione di incidenti potenzialmente rilevanti.

Il contesto italiano e il perimetro di rischio

Non emergono vittime italiane confermate nel dossier di CERT Polska. Tuttavia, dati storici di Eclypsium riportano che nel dicembre 2021 oltre 300.000 dispositivi MikroTik erano esposti a falle note, con l'Italia tra i cinque paesi più colpiti. Il dato non è direttamente trasferibile a MikroTrick, ma indica una superficie di attacco consolidata nel territorio nazionale.

Per ISP, WISP e infrastrutture aziendali, la compromissione di un router perimetrale espone il movimento laterale nella rete interna, l'intercettazione del traffico e la persistenza dell'attaccante. La criticità è massima dove SSH è stato esposto per gestione remota.

Domande e risposte

È necessario possedere credenziali valide per sfruttare MikroTrick?
No. La catena funziona senza autenticazione preliminare, sfruttando solo la raggiungibilità del servizio SSH su TCP/22.

Il marcatore Flagged basta per escludere una compromissione?
No. CERT Polska ha esplicitamente avvertito che l'assenza del marker non esclude una intrusione avvenuta prima dell'applicazione della patch.

Perché questa disclosure è diversa dalle precedenti?
È la prima volta che un team di sicurezza nazionale documenta l'uso di modelli linguistici generativi nella scoperta di vulnerabilità, con divulgazione coordinata e verifica umana esplicita.

Fonti

• https://www.ictsecuritymagazine.com/notizie/mikrotik-mikrotrick/
• https://cert.pl/en/posts/2026/09/vulnerabilities-in-mikrotik-routeros-actively-exploited/
• https://cybersecuritynews.com/mikrotik-routeros-vulnerability/
• https://mikrotik.com/supportsec
• https://nvd.nist.gov/vuln/detail/CVE-2026-86060
• https://cert.pl/en/posts/2026/09/mikrotik-routeros-cve
• https://thehackernews.com/2021/12/over-300000-mikrotik-devices-found.html
• https://cert.gov.lv/lv/2026/09/uzbruceji-pastiprinati-censas-kompromitet-mikrotik-marsrutetajus

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti