Router MikroTik con RouterOS non aggiornato e SSH esposto su Internet sono sotto attacco. CERT Polska ha confermato lo sfruttamento attivo di una catena di vulnerabilità chiamata MikroTrick, capace di portare al controllo completo del dispositivo senza conoscere la password. MikroTik ha già distribuito le correzioni e raccomanda l’aggiornamento immediato.
Il problema non riguarda una singola falla: i ricercatori hanno coordinato la divulgazione di sei vulnerabilità in RouterOS. Le due più pericolose, CVE-2026-67276 e CVE-2026-86060, possono essere concatenate quando il servizio SSH del router è raggiungibile da una rete pubblica.
MikroTik RouterOS: quali versioni devi installare
Il bollettino di sicurezza MikroTik indica che la correzione è presente nei rami 7.25 beta 3, 7.24.2, 7.23.4 e 6.49.21. Se utilizzi una versione precedente nel relativo ramo, non conviene rimandare l’aggiornamento.
| Ramo RouterOS | Versione con correzione | Indicazione |
|---|---|---|
| 7.24 Stable | 7.24.2 o successiva | Aggiorna subito |
| 7.23 Long-term | 7.23.4 o successiva | Aggiorna subito |
| 6.x Long-term | 6.49.21 o successiva | Aggiorna subito |
| 7.25 beta | 7.25beta3 o successiva | Solo per chi usa il ramo beta |
Non passare al ramo beta soltanto per ottenere la patch. Se il router usa Stable o Long-term, installa la release corretta del canale che stai già utilizzando. Per i dispositivi domestici con configurazione predefinita MikroTik precisa che il rischio immediato è più basso, ma raccomanda comunque l’aggiornamento a tutti gli utenti.
Che cos’è MikroTrick e perché è pericoloso
MikroTrick è il nome dato alla catena che combina CVE-2026-67276 e CVE-2026-86060. La prima vulnerabilità riguarda il modo in cui RouterOS verifica alcune chiavi pubbliche RSA durante l’autenticazione SSH. Il controllo incompleto può permettere a un attaccante di superare l’autenticazione senza possedere la chiave privata corretta.
La seconda falla riguarda la gestione del nome utente nel percorso di login SSH e può consentire di manipolare i privilegi della sessione. Combinate, le due vulnerabilità possono portare al controllo amministrativo del router senza autenticazione, se l’accesso SSH è raggiungibile dalla rete pubblica.
Secondo il rapporto di CERT Polska pubblicato il 5 settembre 2026, gli attacchi osservati sono iniziati almeno il 2 settembre e le patch rilasciate bloccano la catena sfruttata nelle intrusioni rilevate.
Come controllare la versione installata
Prima di modificare la configurazione, verifica la versione di RouterOS. Da WinBox o WebFig puoi aprire System > Packages e controllare la release installata. Dalla console puoi usare:
/system package printSe il dispositivo appartiene a uno dei rami vulnerabili, crea prima un backup della configurazione e poi esegui l’aggiornamento. Il backup è una precauzione utile, ma non va considerato una copia pulita se sospetti che il router sia già stato compromesso.
Come aggiornare RouterOS
- Accedi al router tramite un’interfaccia di amministrazione affidabile.
- Apri System > Packages e poi Check For Updates.
- Controlla il canale selezionato, Stable o Long-term, in base alla configurazione che utilizzi.
- Verifica che la versione proposta sia almeno 7.24.2, 7.23.4 o 6.49.21 nel relativo ramo.
- Installa l’aggiornamento e attendi il riavvio del router.
- Dopo l’update, controlla nuovamente la versione installata.
Sui RouterBOARD MikroTik raccomanda anche di aggiornare RouterBOOT dopo RouterOS. Da interfaccia grafica trovi il controllo in System > RouterBOARD; da terminale il comando è /system routerboard upgrade, seguito dal riavvio quando richiesto.
Dopo la patch devi controllare se il router è stato compromesso
L’installazione della patch chiude le vulnerabilità note, ma non cancella automaticamente eventuali modifiche fatte da un attaccante prima dell’aggiornamento. RouterOS esegue un controllo e può contrassegnare il dispositivo come Flagged quando rileva tracce compatibili con una compromissione.
La presenza dello stato Flagged è un segnale importante. La sua assenza, però, non dimostra da sola che il router sia pulito. Dopo l’update controlla almeno:
- utenti sconosciuti o creati di recente;
- script che non riconosci;
- attività nello Scheduler aggiunte senza autorizzazione;
- proxy, tunnel o regole di inoltro non previste;
- modifiche a firewall, DNS e servizi di gestione;
- log relativi a accessi SSH insoliti.
L’account ops è un indicatore da non ignorare
CERT Polska ha osservato in attacchi reali la creazione di un utente con privilegi elevati chiamato ops. Nei log possono comparire anche un tentativo di accesso per l’utente -2 seguito dalla creazione di un account tramite una sessione SSH associata allo stesso contesto.
Se trovi questi elementi, oppure una configurazione che non riesci a spiegare, tratta il router come compromesso. Isolalo dalla rete pubblica, conserva i log utili all’analisi, cambia le credenziali da un dispositivo affidabile e valuta il ripristino da una configurazione nota e controllata.
SSH esposto su Internet aumenta il rischio
Gli attacchi confermati riguardano dispositivi il cui servizio SSH è accessibile da reti pubbliche. Dopo la patch verifica quindi anche come sono esposti i servizi di amministrazione. WinBox, WebFig e SSH non dovrebbero essere aperti a Internet senza una necessità precisa e controlli adeguati.
Quando possibile, limita l’amministrazione alla rete locale o a una VPN e consenti l’accesso soltanto dagli indirizzi necessari. Per una verifica più ampia puoi usare anche la nostra guida ai controlli di sicurezza da fare sul router.
Le altre vulnerabilità di RouterOS
La divulgazione comprende sei CVE e non si limita alla catena SSH. I problemi individuati coinvolgono anche bandwidth-test, gestione dei certificati X.509 e WebFig. Alcune falle possono esporre informazioni o funzioni che non dovrebbero essere raggiungibili senza i controlli previsti.
Per questo non è sufficiente disattivare temporaneamente SSH e considerare risolto il problema. La misura corretta resta installare una versione di RouterOS che contenga tutte le correzioni coordinate.
Cosa fare adesso, in ordine
- Controlla la versione di RouterOS.
- Aggiorna almeno a 7.24.2, 7.23.4 o 6.49.21 nel ramo appropriato.
- Controlla lo stato Flagged e i log.
- Cerca utenti, script, scheduler, proxy e tunnel sconosciuti.
- Verifica che SSH e gli altri servizi di amministrazione non siano esposti senza necessità.
- Se trovi indicatori di compromissione, non limitarti a cambiare una password: isola il dispositivo e ripristina una configurazione affidabile.
Il caso arriva pochi giorni dopo altre patch urgenti per router consumer, come quella che abbiamo analizzato per TP-Link Archer AX55 V4. In entrambi gli scenari il principio è lo stesso: quando la correzione è disponibile e lo sfruttamento è confermato, aggiornare riduce immediatamente la finestra di esposizione.
