Hackare utnyttjar sårbarheter i MikroTik RouterOS för att kapa routrar

Hackare utnyttjar en kedja av två sårbarheter i MikroTik-routrar för att ta kontroll över enheter där SSH-tjänster är exponerade mot internet.

Den första sårbarheten, CVE-2026-67276, är ett fel som kringgår SSH-autentisering och beror på bristande validering av RSA-publika nycklar i MikroTik RouterOS. En angripare som känner till ett användarnamn och den publika modulen för användarens nyckel kan skapa en annan nyckel och logga in utan den legitima privata nyckeln.

Den andra sårbarheten, CVE-2026-86060, är en sårbarhet för privilegieeskalering i SSH som orsakas av felaktig hantering av särskilt utformade användarnamn. Angripare kan manipulera en SSH-session och få fullständiga administratörsbehörigheter.

Polens CERT upptäckte båda sårbarheterna med hjälp av GPT-5.5-cyber och GPT-5.6-sol. Myndigheten döpte kedjan till ”MikroTrick” och uppgav att den aktivt utnyttjas i verkliga attacker.

En tredje sårbarhet, CVE-2026-67277, påverkar RouterOS-tjänsten bandwidth-test och gör det möjligt för angripare utan autentisering att läcka kärnminne eller fjärrkrascha och starta om routern.

MikroTik åtgärdade sårbarheterna i RouterOS 7.25beta3, 7.24.2, 7.23.4 och 6.49.21, som släpptes den 3 september. Uppdateringarna kontrollerar vid uppstart efter kända tecken på obehöriga konfigurationsändringar, inaktiverar skadliga poster och loggar en kritisk varning.

Den 5 september hade The ShadowServer Foundation räknat 122 500 MikroTik-enheter med ett exponerat SSH-gränssnitt. Det exakta antalet sårbara enheter var inte fastställt.