Segui MikroTik ha rilasciato aggiornamenti di sicurezza d’emergenza per RouterOS dopo che i ricercatori hanno confermato che gli aggressori stanno attivamente sfruttando una vulnerabilità di bypass dell’autenticazione SSH ad alta gravità contro i router esposti a internet. Tracciato come CVE-2026-67276 e valutato 9,2 sulla scala CVSS, il difetto consente a un aggressore di autenticarsi come utente esistente di RouterOS senza possedere la legittima chiave privata RSA di quell’utente.
La vulnerabilità diventa significativamente più pericolosa quando combinata con CVE-2026-86060, una debolezza separata di escalation dei privilegi SSH. CERT Polska ha chiamato la catena di attacco a due fasi MikroTrick e ha confermato che gli aggressori la stanno utilizzando per ottenere il controllo amministrativo completo dei dispositivi RouterOS il cui servizio SSH è raggiungibile dalle reti pubbliche.
Le prove indicano che lo sfruttamento è iniziato già dal 2 settembre 2026, un giorno prima che MikroTik rilasciasse pubblicamente le versioni patch di RouterOS il 3 settembre. Gli attacchi riusciti hanno creato account altamente privilegiati, modificato la configurazione del dispositivo e stabilito un accesso che potrebbe persistere fino a quando gli amministratori non indagano attivamente e ricostruiscono i sistemi compromessi.
Il più ampio gruppo di Flaws di MikroTrick divulgati da CERT Polska include sei vulnerabilità di RouterOS che influenzano la funzionalità del server e client SSH, il servizio di test della larghezza di banda, la convalida del certificato X.509 e l’interfaccia di gestione WebFig. Tuttavia, CVE-2026-67276 e CVE-2026-86060 costituiscono la combinazione attualmente confermata in attacchi attivi di acquisizione completa del dispositivo.
Analisi del CVE-2026-67276
La vulnerabilità origina dal modo in cui RouterOS convalida le chiavi pubbliche RSA durante l’autenticazione SSH. RouterOS non confrontava l’intera chiave pubblica associata a un utente autorizzato. Invece, solo parte della chiave RSA era sufficientemente convalidata, consentendo l’accettazione di una chiave alternativa appositamente costruita in condizioni dove avrebbe dovuto essere rifiutata.
I dettagli più importanti per CVE-2026-67276 sono che un attaccante deve conoscere un nome utente valido di RouterOS e il modulo pubblico associato a quella chiave SSH RSA autorizzata. L’attaccante può quindi costruire un’altra chiave che passa il processo di convalida vulnerabile e autenticarsi senza possedere la chiave privata corrispondente.
Lo sfruttamento riuscito di questo difetto da solo dà all’attaccante gli stessi permessi di RouterOS assegnati all’account impersonato. Se l’utente target ha già diritti amministrativi, ciò può fornire direttamente un controllo significativo sul dispositivo. Quando i permessi dell’utente sono più limitati, gli attaccanti possono combinare il difetto con CVE-2026-86060 per eseguire ulteriori escalation.
CVE-2026-86060 deriva da una gestione impropria di nomi utente SSH appositamente costruiti che iniziano con un carattere vietato. Il difetto consente la manipolazione della maschera di politica di RouterOS associata alla sessione SSH, consentendo l’escalation dei privilegi a diritti amministrativi completi. CERT Polska conferma che lo sfruttamento delle due debolezze insieme consente la presa di controllo non autenticata di un dispositivo RouterOS quando SSH è esposto.
Questa catena è particolarmente importante perché elimina il consueto requisito di rubare una password di amministratore valida o una chiave SSH privata. Un attore esterno in grado di raggiungere il servizio SSH può passare da tentativi di autenticazioni costruite a una sessione RouterOS privilegiata e quindi eseguire operazioni amministrative.
I tentativi di sfruttare MikroTik RouterOS negli attacchi osservati si sono concentrati su dispositivi che espongono direttamente SSH a internet. MikroTik nota che le configurazioni predefinite per la casa non sono generalmente immediatamente esposte, ma gli amministratori che hanno abilitato SSH pubblico o modificato le regole del firewall possono affrontare un rischio significativamente maggiore.
CVE-2026-67276 riguarda le seguenti fasce di release di RouterOS:
- RouterOS 7.24 fino alle versioni precedenti alla 7.24.2
- RouterOS 7.0.0 fino alle versioni precedenti alla 7.23.4
- RouterOS 6.0.0 fino alle versioni precedenti alla 6.49.21
CERT Polska ha classificato la vulnerabilità come CWE-347: Verifica impropria della firma crittografica. Tutti e sei i problemi di sicurezza di RouterOS divulgati nella stessa ricerca condividono le stesse ampie gamme di release colpite.
La vulnerabilità è stata scoperta da CERT Polska come parte della ricerca sulla sicurezza eseguita in coordinazione con MikroTik. I ricercatori hanno utilizzato un ambiente di laboratorio basato su agenti supportato da modelli AI per analizzare i componenti di RouterOS, confrontare le versioni del software, modellare gli stati del protocollo e convalidare le ipotesi su sistemi di test reali. Ogni risultato è stato successivamente confermato manualmente e attraverso test ripetuti prima della divulgazione.
La data precisa di scoperta privata non è stata pubblicata. MikroTik ha rilasciato le correzioni di sicurezza il 3 settembre 2026, mentre CERT Polska ha pubblicato informazioni tecniche e i CVE assegnati il 5 settembre. Le prove del mondo reale indicano che gli aggressori stavano già sfruttando la catena dal 2 settembre, conferendo alla campagna caratteristiche di zero-day.
I ricercatori hanno confermato attacchi riusciti originati da 82.192.72[.]4, con tentativi di sfruttamento associati anche a 103.102.31[.]18. I compromessi osservati hanno creato un utente RouterOS altamente privilegiato chiamato ops.
Security Affairs ha anche riportato l’infrastruttura a 82.192.72[.]4 che ospita un binario MIPS BusyBox e file chiamati ftpsrv.py, launch.sh e serve.py. Le prove disponibili non hanno ancora collegato l’attività a un gruppo di minacce noto o stabilito se i router compromessi stiano venendo assemblati in una botnet, una rete proxy, un’infrastruttura di spionaggio o un’altra operazione.
La catena di attacco osservata lascia artefatti particolarmente utili nei log di RouterOS e nella cronologia della configurazione. I tentativi di sfruttamento falliti possono generare voci che assomigliano a:
fallimento del login per l’utente -2 da <ip> tramite ssh
L’attività riuscita può successivamente apparire come:
utente <nome> aggiunto da ssh:-2@<ip>
La stringa -2 è particolarmente sospetta perché non è un nome utente normale di RouterOS ed è stata associata allo sfruttamento della fase di manipolazione dei privilegi.
Un exploit pubblicamente disponibile di CVE-2026-67276 è ora apparso per test controllati in laboratorio della debolezza di autenticazione SSH. La sua disponibilità abbassa ulteriormente la barriera per la riproduzione indipendente del difetto, rafforzando la necessità di patchare prima che la scansione e lo sfruttamento diventino più diffusi.
Gli IOC di CVE-2026-67276 attualmente utili includono i due indirizzi IP di origine osservati, il nome utente SSH anormale -2, l’account ops e le modifiche di configurazione attribuite a ssh:-2@<IP>. Security Affairs ha inoltre pubblicato gli hash di diversi file recuperati dall’infrastruttura dell’attaccante associata.
Mitigazione di CVE-2026-67276
MikroTik e CERT Polska raccomandano di aggiornare immediatamente RouterOS. Le correzioni sono disponibili in:
- RouterOS 7.25 beta 3 o successivo
- RouterOS 7.24.2 o successivo
- RouterOS 7.23.4 o successivo
- RouterOS 6.49.21 o successivo
MikroTik ha successivamente rilasciato RouterOS 7.23.5 dopo che è stata scoperta una regressione DHCP IPv6 nella versione 7.23.4. Le organizzazioni che utilizzano il ramo a lungo termine 7.23 dovrebbero quindi utilizzare la build di manutenzione più recente disponibile piuttosto che fermarsi intenzionalmente alla 7.23.4.
Dopo l’aggiornamento, RouterOS esegue un controllo di avvio per indicatori noti selezionati di modifiche di configurazione non autorizzate. Se vengono identificate modifiche sospette, al dispositivo viene assegnato uno stato Segnalato , le voci di configurazione pertinenti possono essere disabilitate e un avviso critico viene scritto nel registro di sistema.
Gli amministratori possono ispezionare questo stato con:
/system/device-mode/print
Un risultato Segnalato dovrebbe essere trattato come prova che il dispositivo potrebbe essere stato compromesso. Tuttavia, sia MikroTik che CERT Polska sottolineano che l’assenza del marcatore Segnalato non prova che un router sia pulito, poiché il meccanismo rileva solo artefatti noti selezionati.
La rilevazione di CVE-2026-67276 dovrebbe quindi combinare la verifica della patch con la revisione dei log, l’ispezione della configurazione e l’analisi degli account e delle modifiche amministrative recentemente creati.
To Per rilevare l’esploit di CVE-2026-67276 o l’attività correlata a MikroTrick, i difensori dovrebbero cercare: exploitation or related MikroTrick activity, defenders should look for:
- fallimento del login per l’utente -2 … tramite ssh
- Azioni amministrative attribuite a ssh:-2@<IP>
- Un account privilegiato inaspettato chiamato ops
- Connessioni che coinvolgono 82.192.72[.]4
- Connessioni che coinvolgono 103.102.31[.]18
- Chiavi pubbliche SSH aggiunte o modificate di recente
- Utenti sconosciuti o autorizzazioni utente cambiate
- Script RouterOS inaspettati
- Compiti pianificati sospetti
- Proxy o tunnel appena abilitati
- Modifiche inspiegabili al firewall o NAT
- Configurazione di sniffing dei pacchetti o inoltro del traffico che gli amministratori non hanno creato
- Altre modifiche alla configurazione inaspettate a seguito di attività SSH
Se gli amministratori non possono applicare le patch immediatamente, CERT Polska raccomanda di disabilitare i servizi esposti esternamente o di limitarli esclusivamente a reti di gestione fidate. Questo si applica in particolare a SSH, WWW/WWW-SSL e al server di test della larghezza di banda.
I dispositivi che non sono stati patchati dovrebbero anche evitare di avviare connessioni SSH o TLS verso sistemi non attendibili. CERT Polska raccomanda specificamente di evitare i client builtin /system ssh e /system ssh-exec di RouterOS fino a quando non vengono installati gli aggiornamenti perché altre vulnerabilità divulgate nella stessa ricerca influenzano la fiducia lato client di RouterOS e la gestione del protocollo.
Queste misure riducono l’esposizione ma non sostituiscono gli aggiornamenti del fornitore.
Se i log, lo stato Segnalato, un account ops sconosciuto o altre prove di configurazione suggeriscono il compromesso, gli amministratori dovrebbero trattare il router come totalmente controllato da un attaccante. Il dispositivo colpito dovrebbe essere isolato e i log e le prove di configurazione pertinenti dovrebbero essere conservati prima della rimessa in servizio.
CERT Polska raccomanda poi di ripristinare il dispositivo alle impostazioni di fabbrica e ricostruire la configurazione da una fonte fidata e verificata. Gli amministratori non dovrebbero semplicemente ripristinare un backup completo creato da un router potenzialmente compromesso perché utenti, script, chiavi SSH, voci di pianificazione, proxy o tunnel malevoli potrebbero essere reintrodotti.
Tutte le password, le chiavi SSH, le credenziali API, i segreti VPN e altri materiali di autenticazione esposti o memorizzati su un dispositivo compromesso dovrebbero anche essere ruotati.
La priorità della mitigazione di CVE-2026-67276 è particolarmente alta per i router che esponevano SSH a internet pubblico prima del 3 settembre. Poiché gli attacchi attivi sono iniziati prima che l’aggiornamento di sicurezza diventasse pubblicamente disponibile, il patching di quei sistemi dovrebbe essere accompagnato da un’indagine retrospettiva piuttosto che essere trattato solo come manutenzione preventiva.
FAQ
Cos’è CVE-2026-67276 e come funziona?
CVE-2026-67276 è un bypass di autenticazione SSH di chiave pubblica ad alta gravità in MikroTik RouterOS. RouterOS non riusciva a confrontare completamente una chiave pubblica RSA autorizzata durante l’autenticazione. Un attaccante che conosce un nome utente valido e il modulo pubblico della chiave autorizzata può creare un’altra chiave che RouterOS accetta impropriamente, permettendo l’accesso SSH senza il possesso della legittima chiave privata. I permessi risultanti corrispondono a quelli dell’utente target.
Quando è stato scoperto per la prima volta CVE-2026-67276?
La data esatta di scoperta privata non è stata divulgata. CERT Polska ha scoperto il problema durante la sua ricerca sulla sicurezza di RouterOS e ha coordinato la risoluzione con MikroTik. MikroTik ha pubblicato versioni patch il 3 settembre 2026, mentre CERT Polska ha divulgato pubblicamente la vulnerabilità il 5 settembre. Le prove mostrano che lo sfruttamento era già in corso almeno dal 2 settembre.
Qual è l’impatto di CVE-2026-67276 sui sistemi?
Lo sfruttamento riuscito consente a un attaccante di impersonare un utente SSH autorizzato senza conoscere la chiave RSA privata dell’utente. L’attaccante eredita i privilegi di quell’account. Quando concatenato con CVE-2026-86060, l’attacco può fornire accesso amministrativo completo a RouterOS senza autenticazione preventiva, consentendo la modifica di utenti, chiavi SSH, regole del firewall, script, proxy, tunnel e altre configurazioni del dispositivo.
CVE-2026-67276 può ancora colpirmi nel 2026?
Sì. Le installazioni di RouterOS rimangono vulnerabili se eseguono versioni colpite e non hanno ricevuto gli aggiornamenti di sicurezza di settembre. I dispositivi con SSH accessibile da internet pubblico affrontano il rischio immediato maggiore poiché CERT Polska ha confermato lo sfruttamento attivo della catena MikroTrick esattamente contro questo tipo di esposizione.
Come posso proteggermi da CVE-2026-67276?
Aggiorna immediatamente a RouterOS 7.24.2, l’ultima release a lungo termine 7.23, 6.49.21, 7.25 beta 3, o una versione più recente corretta appropriata per il tuo deployment. Limita SSH e altri servizi amministrativi a reti fidate, ispeziona lo stato Segnalato e i log, cerca utenti sconosciuti e modifiche alla configurazione, e reimposta e ricostruisci da zero qualsiasi dispositivo che mostri prove di compromissione.
