MikroTrick PoC — CVE-2026-86060 (acquisizione completa non autenticata di RouterOS)

poc_mikrotrick.py è un exploit autonomo per la catena di attacco SSH che CERT Polska ha divulgato come "MikroTrick" il 2026-09-05, sfruttata in the wild almeno dal 2026-09-02 contro dispositivi MikroTik RouterOS esposti a Internet. Una singola esecuzione trasforma una connessione SSH non autenticata in una console amministrativa completa. Nessuna credenziale, nessuna interazione utente.

Le tre CVE

È richiesto un ulteriore bug di stato senza nome: un login rifiutato lascia il nome utente in sospeso nello stato della sessione del server. L'exploit vi fa affidamento nel passaggio 1 riportato di seguito. Le patch di MikroTik (2026-09-03) chiudono l'intera catena.

Come funziona l'exploit

1. Nome utente in sospeso. Il client tenta l'autenticazione con password con il nome utente -2. Il server la rifiuta ma lo lascia in sospeso nello stato della sessione. Questo è il primo IoC della campagna: login failure for user -2.
2. Rekey pre-auth (CVE-2026-67279). Un key re-exchange prima del completamento dell'autenticazione fa sì che il server elimini il proprio controllo di autenticazione.
3. Apertura canale + PTY. Un canale di sessione viene aperto senza autenticazione, e la shell interattiva avvia l'helper di login con il -2 in sospeso.
4. Scambio della maschera di policy (CVE-2026-86060). L'helper di login legge fino a 4096 byte dal file descriptor 2 e li divide sul NUL in un'identità sostitutiva e una maschera di policy. L'exploit invia una maschera di tutti uno, che RouterOS limita all'insieme completo di policy. La sessione si avvia come amministratore completo; le azioni successive vengono registrate come ssh:-2@<ip>, l'impronta della campagna.

L'exploit crea un account di test con privilegi completi (hacker / hacker), stampa il comando di login ed esce. (La console sfruttata stessa è instabile — un successivo rekey riattiva il controllo di autenticazione e il canale muore — quindi un normale login SSH è il percorso durevole.)

Utilizzo

python3 poc_mikrotrick.py <host>                  # plant hacker account, print ssh login
python3 poc_mikrotrick.py <host> "<ros command>"  # run one command, exit

Requisito: python3-paramiko. Lo script è un client da laboratorio e rifiuta target con IP non privati.

Versioni interessate e corrette

• Vulnerabili: RouterOS [7.24, 7.24.2), [7.0.0, 7.23.4), [6.0.0, 6.49.21)
• Corrette: 7.25beta3, 7.24.2, 7.23.4, 6.49.21
• Testate: CHR 7.23.3 (sfruttabile) vs CHR 7.23.4 (l'exploit fallisce correttamente). Deterministico su esecuzioni ripetute.

Rilevamento

• Riga di log login failure for user -2 via ssh
• Righe di log user <name> added by ssh:-2@<ip>
• Account sconosciuto con privilegi elevati ops
• /system/device-mode/print che mostra il marcatore "Flagged" (la sua assenza non prova nulla)

Se uno di questi elementi compare su un dispositivo, trattalo come compromesso: isola, applica la patch e rivedi tutti gli utenti, gli script, le attività dello scheduler e i tunnel.

Riferimenti

• Divulgazione di CERT Polska
• Bollettino di sicurezza MikroTik (2026-09-03)
• CISA Known Exploited Vulnerabilities: CVE-2026-86060, CVE-2026-67277 (aggiunte il 2026-09-10)

Note legali

Esegui questo solo contro istanze RouterOS che possiedi o che sei esplicitamente autorizzato a testare. Attaccare dispositivi che non possiedi è un reato.