MikroTrick PoC — CVE-2026-86060 (toma de control total no autenticada de RouterOS)

poc_mikrotrick.py es un exploit autocontenido para la cadena de ataque SSH que CERT Polska divulgó como "MikroTrick" el 2026-09-05, explotada en la naturaleza desde al menos el 2026-09-02 contra dispositivos MikroTik RouterOS expuestos a internet. Una sola ejecución convierte una conexión SSH no autenticada en una consola de administrador completa. Sin credenciales, sin interacción del usuario.

Las tres CVE

Se requiere un bug de estado adicional, sin nombre: un inicio de sesión rechazado deja el nombre de usuario pendiente en el estado de sesión del servidor. El exploit se apoya en él en el paso 1 a continuación. Los parches de MikroTik (2026-09-03) cierran toda la cadena.

Cómo funciona el exploit

1. Nombre de usuario pendiente. El cliente intenta la autenticación por contraseña con el nombre de usuario -2. El servidor lo rechaza pero lo deja pendiente en el estado de la sesión. Este es el primer IoC de la campaña: login failure for user -2.
2. Rekey previo a la autenticación (CVE-2026-67279). Un intercambio de claves antes de que se complete la autenticación hace que el servidor elimine su barrera de autenticación.
3. Apertura de canal + PTY. Se abre un canal de sesión sin autenticación, y el shell interactivo lanza el asistente de inicio de sesión con el -2 pendiente.
4. Intercambio de máscara de políticas (CVE-2026-86060). El asistente de inicio de sesión lee hasta 4096 bytes del descriptor de archivo 2 y los divide por NUL en una identidad de reemplazo y una máscara de políticas. El exploit envía una máscara de todos unos, que RouterOS recorta al conjunto completo de políticas. La sesión se inicia como administrador completo; las acciones posteriores se registran como ssh:-2@<ip>, la huella de la campaña.

El exploit crea una cuenta de prueba con privilegios completos (hacker / hacker), imprime el comando de inicio de sesión y sale. (La consola explotada en sí es inestable — un rekey posterior vuelve a armar la barrera de autenticación y el canal muere — por lo que un inicio de sesión SSH normal es la vía duradera).

Uso

python3 poc_mikrotrick.py <host>                  # plant hacker account, print ssh login
python3 poc_mikrotrick.py <host> "<ros command>"  # run one command, exit

Requisito: python3-paramiko. El script es un cliente de laboratorio y rechaza objetivos con IP no privada.

Versiones afectadas y corregidas

• Vulnerables: RouterOS [7.24, 7.24.2), [7.0.0, 7.23.4), [6.0.0, 6.49.21)
• Corregidas: 7.25beta3, 7.24.2, 7.23.4, 6.49.21
• Probado: CHR 7.23.3 (explotable) vs CHR 7.23.4 (el exploit falla correctamente). Determinista en ejecuciones repetidas.

Detección

• Línea de registro login failure for user -2 via ssh
• Líneas de registro user <name> added by ssh:-2@<ip>
• Cuenta desconocida con altos privilegios ops
• /system/device-mode/print mostrando el marcador "Flagged" (su ausencia no prueba nada)

Si alguno de estos aparece en un dispositivo, trátelo como comprometido: aíslelo, aplique el parche y revise todos los usuarios, scripts, tareas del programador y túneles.

Referencias

• Divulgación de CERT Polska
• Boletín de seguridad de MikroTik (2026-09-03)
• CISA Known Exploited Vulnerabilities: CVE-2026-86060, CVE-2026-67277 (añadidas el 2026-09-10)

Legal

Ejecute esto solo contra instancias de RouterOS que posea o para las que esté explícitamente autorizado a probar. Atacar dispositivos que no posee es un delito.