MikroTrick PoC — CVE-2026-86060 (неаутентифицированный полный захват RouterOS)

poc_mikrotrick.py — это самодостаточный эксплойт для цепочки атак через SSH, которую CERT Polska раскрыла под названием "MikroTrick" 2026-09-05 и которая эксплуатировалась в дикой природе как минимум с 2026-09-02 против доступных из интернета устройств MikroTik RouterOS. Один запуск превращает неаутентифицированное SSH-соединение в полноценную консоль администратора. Без учётных данных, без взаимодействия с пользователем.

Три CVE

CVE	Роль в цепочке	Дефект
CVE-2026-86060 (CVSS 9.2)	Повышение привилегий	Помощник входа по SSH трактует имя пользователя, начинающееся с дефиса, как файловый дескриптор и читает из него подменную идентичность и маску политик
CVE-2026-67279 (CVSS 6.9)	Обход аутентификации	Запрошенный клиентом повторный обмен ключами до аутентификации снимает серверную проверку "должен быть аутентифицирован"
CVE-2026-67277 (CVSS 8.8)	Не используется этим PoC	Служба bandwidth-test (btest) допускает раскрытие памяти и перезапуск до аутентификации; актуально для фингерпринтинга и оценки подверженности

Дополнительно требуется безымянная ошибка состояния: отклонённый вход оставляет имя пользователя в состоянии сессии сервера. Эксплойт полагается на неё на шаге 1 ниже. Патчи MikroTik (2026-09-03) закрывают всю цепочку.

Как работает эксплойт

Ожидающее имя пользователя. Клиент пытается пройти аутентификацию по паролю с именем пользователя -2. Сервер отклоняет её, но оставляет его в состоянии сессии. Это первый IoC кампании: login failure for user -2.
Повторный обмен ключами до аутентификации (CVE-2026-67279). Повторный обмен ключами до завершения аутентификации заставляет сервер снять свою проверку аутентификации.
Открытие канала + PTY. Канал сессии открывается без аутентификации, и интерактивная оболочка запускает помощник входа с ожидающим -2.
Подмена маски политик (CVE-2026-86060). Помощник входа читает до 4096 байт из файлового дескриптора 2 и разделяет их по NUL на подменную идентичность и маску политик. Эксплойт отправляет маску из одних единиц, которую RouterOS ограничивает до полного набора политик. Сессия поднимается как полный администратор; дальнейшие действия логируются как ssh:-2@<ip>, фингерпринт кампании.

Эксплойт создаёт тестовую учётную запись с полными привилегиями (hacker / hacker), выводит команду входа и завершается. (Сама эксплуатируемая консоль нестабильна — последующий повторный обмен ключами снова включает проверку аутентификации, и канал умирает — поэтому обычный вход по SSH является надёжным путём.)

Использование

python3 poc_mikrotrick.py <host>                  # plant hacker account, print ssh login
python3 poc_mikrotrick.py <host> "<ros command>"  # run one command, exit

Требование: python3-paramiko. Скрипт является лабораторным клиентом и отказывается работать с целями, не являющимися частными IP-адресами.

Уязвимые и исправленные версии

Уязвимые: RouterOS [7.24, 7.24.2), [7.0.0, 7.23.4), [6.0.0, 6.49.21)
Исправленные: 7.25beta3, 7.24.2, 7.23.4, 6.49.21
Проверено: CHR 7.23.3 (эксплуатируется) против CHR 7.23.4 (эксплойт корректно не срабатывает). Детерминированно при повторных запусках.

Обнаружение

Строка лога login failure for user -2 via ssh
Строки лога user <name> added by ssh:-2@<ip>
Неизвестная учётная запись с высокими привилегиями ops
/system/device-mode/print, показывающий маркер "Flagged" (его отсутствие ничего не доказывает)

Если что-либо из этого появляется на устройстве, считайте его скомпрометированным: изолируйте, пропатчите и проверьте всех пользователей, скрипты, задачи планировщика и туннели.

Ссылки

Раскрытие CERT Polska
Бюллетень безопасности MikroTik (2026-09-03)
CISA Known Exploited Vulnerabilities: CVE-2026-86060, CVE-2026-67277 (добавлены 2026-09-10)

Правовая информация

Запускайте это только против экземпляров RouterOS, которыми вы владеете или на тестирование которых у вас есть явное разрешение. Атака на устройства, которыми вы не владеете, является преступлением.

Популярное

MicroTrick