Router MikroTik con RouterOS non aggiornato sono sotto attacco e dal 10 settembre 2026 due delle vulnerabilità coinvolte sono anche nel catalogo CISA Known Exploited Vulnerabilities. CERT Polska aveva già confermato lo sfruttamento attivo della catena MikroTrick; ora CISA ha aggiunto CVE-2026-67277 e CVE-2026-86060 al KEV, segnalando evidenze di sfruttamento reale.
MikroTik ha distribuito le correzioni nei rami supportati e raccomanda l’aggiornamento immediato. Le versioni da raggiungere sono almeno 7.24.2 Stable, 7.23.4 Long-term o 6.49.21 Long-term; nel ramo beta la correzione è presente da 7.25 beta 3. La patch è importante anche se non usi SSH da Internet, perché CVE-2026-67277 riguarda il servizio bandwidth-test e non coincide con la sola catena SSH.
CISA aggiunge due vulnerabilità MikroTik al catalogo KEV
Il 10 settembre 2026 CISA ha inserito nel catalogo KEV CVE-2026-67277 e CVE-2026-86060. Il Canadian Centre for Cyber Security ha pubblicato lo stesso giorno un alert che conferma l’aggiunta e invita le organizzazioni a verificare immediatamente le versioni RouterOS installate.
| CVE | Cosa può succedere | Stato |
|---|---|---|
| CVE-2026-67277 | Mancata autenticazione nel servizio btest: possibile divulgazione di memoria del kernel e denial of service | CISA KEV dal 10 settembre 2026 |
| CVE-2026-86060 | Argument injection nel percorso di login SSH: possibile modifica della policy mask e privilege escalation | CISA KEV dal 10 settembre 2026 |
| CVE-2026-67276 | Verifica incompleta della firma RSA: può contribuire alla catena MikroTrick via SSH | Parte della divulgazione CERT Polska |
L’ingresso nel catalogo CISA KEV cambia la priorità operativa: non stiamo più parlando soltanto di vulnerabilità tecnicamente sfruttabili, ma di falle per cui esistono evidenze di utilizzo reale. Per un router esposto o usato come apparato perimetrale, il patching va quindi trattato come intervento urgente.
MikroTik RouterOS: quali versioni devi installare
Il bollettino di sicurezza MikroTik indica che la correzione è presente nei rami 7.25 beta 3, 7.24.2, 7.23.4 e 6.49.21. Se utilizzi una versione precedente nel relativo ramo, non conviene rimandare l’aggiornamento.
| Ramo RouterOS | Versione con correzione | Indicazione |
|---|---|---|
| 7.24 Stable | 7.24.2 o successiva | Aggiorna subito |
| 7.23 Long-term | 7.23.4 o successiva | Aggiorna subito |
| 6.x Long-term | 6.49.21 o successiva | Aggiorna subito |
| 7.25 beta | 7.25 beta 3 o successiva | Solo per chi usa già il ramo beta |
Non passare al ramo beta soltanto per ottenere la patch. Se il router usa Stable o Long-term, installa la release corretta del canale che stai già utilizzando. MikroTik precisa che i normali dispositivi domestici con configurazione predefinita hanno un rischio immediato più basso, ma raccomanda comunque l’aggiornamento a tutti gli utenti.
CVE-2026-67277: cosa succede nel servizio bandwidth-test
CVE-2026-67277 è distinta dalla catena SSH. Secondo l’analisi tecnica di CERT Polska, RouterOS può accettare una connessione correlata al servizio bandwidth-test prima che la sessione principale abbia completato l’autenticazione.
Un client non autenticato può sfruttare questa condizione per avviare un test UDP IPv4. In determinate condizioni, la gestione dei buffer può esporre una porzione di memoria del kernel; un secondo errore nella gestione delle dimensioni dei pacchetti può invece produrre output anomalo e portare al riavvio del kernel RouterOS. CISA descrive infatti la falla come una vulnerabilità che può causare kernel memory disclosure e denial of service nel servizio btest.
Questo dettaglio è importante perché evita una falsa conclusione: chiudere SSH riduce il rischio della catena MikroTrick, ma non sostituisce l’aggiornamento completo di RouterOS. Le release corrette risolvono l’intero gruppo di vulnerabilità coordinate.
CVE-2026-86060: privilege escalation nel login SSH
CVE-2026-86060 riguarda il modo in cui RouterOS gestisce gli argomenti nel percorso di login SSH. CERT Polska descrive un problema con nomi utente che iniziano con un carattere proibito: l’input può essere interpretato in modo tale da modificare la trusted RouterOS policy mask, portando a un’escalation dei privilegi.
Per raggiungere questo percorso l’attaccante deve riuscire a portare una sessione SSH non autenticata fino al login helper. È qui che la falla diventa particolarmente pericolosa quando viene concatenata con CVE-2026-67276, il problema di verifica della firma RSA che permette di superare un passaggio dell’autenticazione senza disporre della chiave privata corretta.
Che cos’è MikroTrick e perché è pericoloso
MikroTrick è il nome dato alla catena che combina CVE-2026-67276 e CVE-2026-86060. La prima vulnerabilità riguarda il modo in cui RouterOS verifica alcune chiavi pubbliche RSA durante l’autenticazione SSH. Il controllo incompleto può permettere a un attaccante di aprire un canale SSH come un utente bersaglio senza possedere la chiave privata corretta.
La seconda falla manipola invece i privilegi della sessione. Combinate, le vulnerabilità possono portare al controllo amministrativo del router senza conoscere la password, se il servizio SSH è raggiungibile dalla rete pubblica e sono presenti le condizioni necessarie.
CERT Polska ha pubblicato i dettagli il 5 settembre 2026 e riferisce che gli attacchi osservati erano iniziati almeno il 2 settembre. MikroTik ha poi aggiornato il proprio bollettino indicando esplicitamente i numeri CVE associati a MikroTrick.
Come controllare la versione installata
Prima di modificare la configurazione, verifica la versione di RouterOS. Da WinBox o WebFig puoi aprire System > Packages e controllare la release installata. Dalla console puoi usare:
/system package printSe il dispositivo appartiene a uno dei rami vulnerabili, crea prima un backup della configurazione e poi esegui l’aggiornamento. Il backup è una precauzione utile, ma non va considerato una copia pulita se sospetti che il router sia già stato compromesso.
Come aggiornare RouterOS
- Accedi al router tramite un’interfaccia di amministrazione affidabile.
- Apri System > Packages e poi Check For Updates.
- Controlla il canale selezionato, Stable o Long-term, in base alla configurazione che utilizzi.
- Verifica che la versione proposta sia almeno 7.24.2, 7.23.4 o 6.49.21 nel relativo ramo.
- Installa l’aggiornamento e attendi il riavvio del router.
- Dopo l’update, controlla nuovamente la versione installata.
Sui RouterBOARD MikroTik raccomanda anche di aggiornare RouterBOOT dopo RouterOS. Da interfaccia grafica trovi il controllo in System > RouterBOARD; da terminale il comando è /system routerboard upgrade, seguito dal riavvio quando richiesto.
Dopo la patch devi controllare se il router è stato compromesso
L’installazione della patch chiude le vulnerabilità note, ma non cancella automaticamente eventuali modifiche fatte da un attaccante prima dell’aggiornamento. RouterOS esegue un controllo e può contrassegnare il dispositivo come Flagged quando rileva tracce compatibili con una compromissione.
La presenza dello stato Flagged è un segnale importante. La sua assenza, però, non dimostra da sola che il router sia pulito. Dopo l’update controlla almeno:
- utenti sconosciuti o creati di recente;
- script che non riconosci;
- attività nello Scheduler aggiunte senza autorizzazione;
- proxy, tunnel o regole di inoltro non previste;
- modifiche a firewall, DNS e servizi di gestione;
- log relativi a accessi SSH insoliti.
L’account ops è un indicatore da non ignorare
CERT Polska ha osservato in attacchi reali la creazione di un utente con privilegi elevati chiamato ops. Nei log possono comparire anche un tentativo di accesso per l’utente -2 seguito dalla creazione di un account tramite una sessione SSH associata allo stesso contesto.
Se trovi questi elementi, oppure una configurazione che non riesci a spiegare, tratta il router come compromesso. Isolalo dalla rete pubblica, conserva i log utili all’analisi, cambia le credenziali da un dispositivo affidabile e valuta il ripristino da una configurazione nota e controllata.
SSH esposto su Internet aumenta il rischio
La catena MikroTrick è particolarmente rilevante sui dispositivi il cui servizio SSH è accessibile da reti pubbliche. MikroTik raccomanda di non esporre SSH a reti non fidate e, quando serve amministrare il router da remoto, di usare una VPN come WireGuard invece di aprire direttamente le porte di gestione.
Dopo la patch verifica quindi come sono esposti WinBox, WebFig e SSH. Per una verifica più ampia puoi usare anche la nostra guida ai controlli di sicurezza da fare sul router.
Le altre vulnerabilità di RouterOS
La divulgazione coordinata comprende sei CVE e non si limita alla catena SSH. I problemi individuati coinvolgono anche bandwidth-test, gestione dei certificati X.509 e WebFig. Alcune falle possono esporre informazioni o funzioni che non dovrebbero essere raggiungibili senza i controlli previsti.
La novità del 10 settembre rende questo punto ancora più importante: CVE-2026-67277, legata al bandwidth-test, è ora una vulnerabilità CISA KEV. Disattivare temporaneamente SSH non equivale quindi a risolvere l’intero pacchetto di problemi. La misura corretta resta installare una versione di RouterOS che contenga tutte le correzioni coordinate.
Cosa fare adesso, in ordine
- Controlla la versione di RouterOS.
- Aggiorna almeno a 7.24.2, 7.23.4 o 6.49.21 nel ramo appropriato.
- Controlla lo stato Flagged e i log.
- Cerca utenti, script, scheduler, proxy e tunnel sconosciuti.
- Verifica che SSH e gli altri servizi di amministrazione non siano esposti senza necessità.
- Se trovi indicatori di compromissione, non limitarti a cambiare una password: isola il dispositivo e ripristina una configurazione affidabile.
Il caso si inserisce nel cluster delle vulnerabilità già sfruttate su apparati di rete. Su Tech iCrewPlay abbiamo seguito anche CVE-2025-25249 su FortiGate e CVE-2026-19490 su NetScaler: in tutti questi scenari la patch chiude il vettore noto, ma non sostituisce il controllo di eventuali compromissioni già avvenute.
Per MikroTik la priorità oggi è doppia: installare una release corretta e verificare il dispositivo dopo l’upgrade. L’aggiunta di CVE-2026-67277 e CVE-2026-86060 al catalogo CISA KEV conferma che l’esposizione non è più soltanto teorica e rende poco prudente rimandare l’intervento su RouterOS vulnerabile.
Entra nella conversazione
Condividi il tuo punto di vista: non serve creare un account. I contributi restano soggetti alla moderazione editoriale.