MikroTrick PoC — CVE-2026-86060（RouterOS 未认证完全接管）

poc_mikrotrick.py 是针对 CERT Polska 于 2026-09-05 披露的 "MikroTrick" SSH 攻击链的自包含漏洞利用程序，该攻击链自至少 2026-09-02 起已被用于针对面向互联网的 MikroTik RouterOS 设备的野外攻击。单次运行即可将未认证的 SSH 连接转变为完整的管理员控制台。无需凭据，无需用户交互。

三个 CVE

还需要一个额外的、未命名的状态缺陷：被拒绝的登录会将用户名保留在服务器的会话状态中。下面的步骤 1 中漏洞利用依赖于此。MikroTik 的补丁（2026-09-03）关闭了整个攻击链。

漏洞利用原理

1. 待处理用户名。 客户端尝试以用户名 -2 进行密码认证。服务器拒绝该请求，但将其保留在会话状态中。这是该攻击活动的第一个 IoC：login failure for user -2。
2. 认证前密钥重协商（CVE-2026-67279）。 在认证完成前进行密钥重新交换，使服务器放弃其认证门控。
3. 打开通道 + PTY。 在未认证的情况下打开会话通道，交互式 shell 使用待处理的 -2 启动登录辅助程序。
4. 策略掩码替换（CVE-2026-86060）。 登录辅助程序从文件描述符 2 读取最多 4096 字节，并按 NUL 分割为替换身份和策略掩码。漏洞利用发送全 1 掩码，RouterOS 将其钳制为完整策略集。会话以完整管理员身份启动；后续操作记录为 ssh:-2@<ip>，即该攻击活动的指纹。

该漏洞利用会植入一个全权限测试账户（hacker / hacker），打印登录命令，然后退出。（被利用的控制台本身不稳定——后续的密钥重协商会重新启用认证门控，通道随即断开——因此正常的 SSH 登录才是持久路径。）

用法

python3 poc_mikrotrick.py <host>                  # 植入 hacker 账户，打印 ssh 登录命令
python3 poc_mikrotrick.py <host> "<ros command>"  # 运行一条命令，退出

依赖：python3-paramiko。该脚本是实验室客户端，拒绝非私有 IP 目标。

受影响版本与修复版本

• 受影响：RouterOS [7.24, 7.24.2)、[7.0.0, 7.23.4)、[6.0.0, 6.49.21)
• 已修复：7.25beta3、7.24.2、7.23.4、6.49.21
• 已测试：CHR 7.23.3（可利用）对比 CHR 7.23.4（漏洞利用正确失败）。 重复运行结果确定。

检测

• 日志行 login failure for user -2 via ssh
• 日志行 user <name> added by ssh:-2@<ip>
• 未知的高权限账户 ops
• /system/device-mode/print 显示 "Flagged" 标记（其缺失不能证明任何事）

如果设备上出现上述任何一项，请将其视为已失陷：隔离、打补丁，并审查所有用户、脚本、计划任务和隧道。

参考

• CERT Polska 披露
• MikroTik 安全公告（2026-09-03）
• CISA 已知被利用漏洞：CVE-2026-86060、CVE-2026-67277 （2026-09-10 添加）

法律

仅对您拥有或明确授权测试的 RouterOS 实例运行此程序。攻击您不拥有的设备是犯罪行为。