MikroTrick PoC — CVE-2026-86060 (RouterOS अनधिकृत पूर्ण टेकओवर)

poc_mikrotrick.py SSH आक्रमण श्रृंखला के लिए एक स्व-निहित एक्सप्लॉइट है जिसे CERT Polska ने 2026-09-05 को "MikroTrick" के रूप में प्रकट किया, जिसका उपयोग कम से कम 2026-09-02 से इंटरनेट-सामना करने वाले MikroTik RouterOS उपकरणों के विरुद्ध जंगल में किया जा रहा है। एक ही रन एक अनधिकृत SSH कनेक्शन को पूर्ण प्रशासक कंसोल में बदल देता है। कोई क्रेडेंशियल नहीं, कोई उपयोगकर्ता इंटरैक्शन नहीं।

तीन CVE

एक अतिरिक्त, अनाम स्टेट बग आवश्यक है: एक अस्वीकृत लॉगिन सर्वर की सत्र स्थिति में उपयोगकर्ता नाम को लंबित छोड़ देता है। एक्सप्लॉइट नीचे चरण 1 में इस पर निर्भर करता है। MikroTik के पैच (2026-09-03) पूरी श्रृंखला को बंद कर देते हैं।

एक्सप्लॉइट कैसे काम करता है

1. लंबित उपयोगकर्ता नाम। क्लाइंट उपयोगकर्ता नाम -2 के रूप में पासवर्ड प्रमाणीकरण का प्रयास करता है। सर्वर इसे अस्वीकार करता है लेकिन सत्र स्थिति में लंबित छोड़ देता है। यह अभियान का पहला IoC है: login failure for user -2।
2. प्री-ऑथ रीकी (CVE-2026-67279)। प्रमाणीकरण पूरा होने से पहले एक कुंजी पुनः-आदान-प्रदान सर्वर को उसका प्रमाणीकरण गेट गिराने पर मजबूर करता है।
3. चैनल खोलें + PTY। प्रमाणीकरण के बिना एक सत्र चैनल खोला जाता है, और इंटरैक्टिव शेल लंबित -2 के साथ लॉगिन हेल्पर को स्पॉन करता है।
4. नीति-मास्क स्वैप (CVE-2026-86060)। लॉगिन हेल्पर फ़ाइल डिस्क्रिप्टर 2 से 4096 बाइट्स तक पढ़ता है और उन्हें NUL पर एक प्रतिस्थापन पहचान और नीति मास्क में विभाजित करता है। एक्सप्लॉइट एक ऑल-वन्स मास्क भेजता है, जिसे RouterOS पूर्ण नीति सेट तक क्लैंप कर देता है। सत्र पूर्ण प्रशासक के रूप में आता है; आगे की क्रियाएँ ssh:-2@<ip> के रूप में लॉग की जाती हैं, जो अभियान का फिंगरप्रिंट है।

एक्सप्लॉइट एक पूर्ण-विशेषाधिकार परीक्षण खाता (hacker / hacker) स्थापित करता है, लॉगिन कमांड प्रिंट करता है, और बाहर निकल जाता है। (शोषित कंसोल स्वयं अस्थिर है — एक बाद का रीकी प्रमाणीकरण गेट को पुनः-सक्रिय कर देता है और चैनल समाप्त हो जाता है — इसलिए एक सामान्य SSH लॉगिन टिकाऊ मार्ग है।)

उपयोग

python3 poc_mikrotrick.py <host>                  # plant hacker account, print ssh login
python3 poc_mikrotrick.py <host> "<ros command>"  # run one command, exit

आवश्यकता: python3-paramiko। स्क्रिप्ट एक लैब क्लाइंट है और गैर-निजी IP लक्ष्यों को अस्वीकार करती है।

प्रभावित और ठीक किए गए संस्करण

• भेद्य: RouterOS [7.24, 7.24.2), [7.0.0, 7.23.4), [6.0.0, 6.49.21)
• ठीक किए गए: 7.25beta3, 7.24.2, 7.23.4, 6.49.21
• परीक्षण किया गया: CHR 7.23.3 (शोषणीय) बनाम CHR 7.23.4 (एक्सप्लॉइट सही ढंग से विफल होता है)। बार-बार चलाने पर नियतात्मक।

पहचान

• लॉग लाइन login failure for user -2 via ssh
• लॉग लाइनें user <name> added by ssh:-2@<ip>
• अज्ञात उच्च-विशेषाधिकार खाता ops
• /system/device-mode/print में "Flagged" मार्कर दिखाना (इसका अभाव कुछ भी सिद्ध नहीं करता)

यदि इनमें से कोई भी किसी उपकरण पर दिखाई दे, तो इसे समझौता किया गया मानें: अलग करें, पैच करें, और सभी उपयोगकर्ताओं, स्क्रिप्ट, शेड्यूलर कार्यों और टनल की समीक्षा करें।

संदर्भ

• CERT Polska प्रकटीकरण
• MikroTik सुरक्षा बुलेटिन (2026-09-03)
• CISA Known Exploited Vulnerabilities: CVE-2026-86060, CVE-2026-67277 (2026-09-10 को जोड़ा गया)

कानूनी

इसे केवल उन RouterOS इंस्टेंस के विरुद्ध चलाएँ जिनका आप स्वामी हैं या जिनका परीक्षण करने के लिए स्पष्ट रूप से अधिकृत हैं। जिन उपकरणों का आप स्वामी नहीं हैं उन पर हमला करना एक अपराध है।