MikroTrick PoC — CVE-2026-86060 (tomada de controle total não autenticada do RouterOS)

poc_mikrotrick.py é um exploit autocontido para a cadeia de ataque SSH que a CERT Polska divulgou como "MikroTrick" em 2026-09-05, explorada em campo desde pelo menos 2026-09-02 contra dispositivos MikroTik RouterOS expostos à internet. Uma única execução transforma uma conexão SSH não autenticada em um console de administrador completo. Sem credenciais, sem interação do usuário.

As três CVEs

Um bug de estado adicional, sem nome, é necessário: um login rejeitado deixa o nome de usuário pendente no estado de sessão do servidor. O exploit depende disso na etapa 1 abaixo. Os patches da MikroTik (2026-09-03) fecham toda a cadeia.

Como o exploit funciona

1. Nome de usuário pendente. O cliente tenta autenticação por senha com o nome de usuário -2. O servidor rejeita, mas o deixa pendente no estado da sessão. Este é o primeiro IoC da campanha: login failure for user -2.
2. Renegociação de chave pré-autenticação (CVE-2026-67279). Uma renegociação de chave antes da conclusão da autenticação faz o servidor remover sua barreira de autenticação.
3. Abertura de canal + PTY. Um canal de sessão é aberto sem autenticação, e o shell interativo inicia o auxiliar de login com o -2 pendente.
4. Troca de máscara de política (CVE-2026-86060). O auxiliar de login lê até 4096 bytes do descritor de arquivo 2 e os divide em NUL em uma identidade de substituição e uma máscara de política. O exploit envia uma máscara com todos os bits em um, que o RouterOS limita ao conjunto completo de políticas. A sessão surge como administrador completo; ações posteriores são registradas como ssh:-2@<ip>, a impressão digital da campanha.

O exploit cria uma conta de teste com privilégios totais (hacker / hacker), imprime o comando de login e sai. (O console explorado em si é instável — uma renegociação de chave posterior rearma a barreira de autenticação e o canal morre — então um login SSH normal é o caminho durável.)

Uso

python3 poc_mikrotrick.py <host>                  # plant hacker account, print ssh login
python3 poc_mikrotrick.py <host> "<ros command>"  # run one command, exit

Requisito: python3-paramiko. O script é um cliente de laboratório e recusa alvos com IP não privado.

Versões afetadas e corrigidas

• Vulneráveis: RouterOS [7.24, 7.24.2), [7.0.0, 7.23.4), [6.0.0, 6.49.21)
• Corrigidas: 7.25beta3, 7.24.2, 7.23.4, 6.49.21
• Testado: CHR 7.23.3 (explorável) vs CHR 7.23.4 (o exploit falha corretamente). Determinístico em execuções repetidas.

Detecção

• Linha de log login failure for user -2 via ssh
• Linhas de log user <name> added by ssh:-2@<ip>
• Conta desconhecida com altos privilégios ops
• /system/device-mode/print mostrando o marcador "Flagged" (sua ausência não prova nada)

Se qualquer um destes aparecer em um dispositivo, trate-o como comprometido: isole, aplique o patch e revise todos os usuários, scripts, tarefas do agendador e túneis.

Referências

• Divulgação da CERT Polska
• Boletim de segurança da MikroTik (2026-09-03)
• CISA Known Exploited Vulnerabilities: CVE-2026-86060, CVE-2026-67277 (adicionadas em 2026-09-10)

Legal

Execute isto apenas contra instâncias RouterOS que você possui ou está explicitamente autorizado a testar. Atacar dispositivos que você não possui é crime.