MikroTik · RouterOS · MikroTrick · SSH · CVE

MikroTrick: уязвимости MikroTik RouterOS уже используют в атаках. Что обновить и проверить

MikroTik выпустила срочные исправления RouterOS, а CERT Polska подтвердил реальные атаки на устройства с доступным из интернета SSH. Комбинация двух уязвимостей, получившая название MikroTrick, может привести к полному захвату маршрутизатора без обычной аутентификации. Разбираемся, какие версии закрывают проблему, кому нужно обновляться немедленно и что проверить после обновления.

РискПодтверждены атаки на RouterOS с публично доступным SSH

Исправлено в7.24.2, 7.23.4/7.23.5 long-term, 6.49.21 и новее

Главное действиеОбновить RouterOS и не оставлять SSH/management открытыми в интернет

Что произошло в начале сентября 2026 года

3 сентября MikroTik опубликовала предупреждение о важной уязвимости RouterOS и выпустила исправления сразу во всех основных ветках. Компания сначала не раскрывала подробности, чтобы дать администраторам время обновиться.

5 сентября CERT Polska опубликовал технические детали и сообщил, что в реальных атаках уже наблюдается эксплуатация комбинации уязвимостей против RouterOS-устройств, у которых SSH доступен из публичной сети.

Эта цепочка получила название MikroTrick.

Главное

Это уже не ситуация «обнаружили потенциальную дыру, когда-нибудь стоит обновиться». CERT Polska прямо рекомендует немедленное обновление, поскольку атаки наблюдались в реальной среде.

Какие уязвимости входят в MikroTrick

CERT Polska обнаружил шесть уязвимостей RouterOS. Наиболее опасны три.

CVSS 9.2

CVE-2026-67276: обход SSH-аутентификации

RouterOS некорректно проверял RSA public key при SSH-аутентификации. При определённых условиях атакующий мог сформировать другой ключ и войти без соответствующего приватного ключа.

CVSS 9.2

CVE-2026-86060: повышение привилегий через SSH

Специально сформированное имя пользователя могло изменить обработку SSH-сессии и привести к получению полных административных прав RouterOS.

CVSS 8.8

CVE-2026-67277: bandwidth-test

Ошибка в bandwidth-test позволяла неаутентифицированному соединению попасть в состояние, которое должно быть доступно только после входа. Последствием могли быть утечка памяти ядра или удалённый DoS с перезапуском устройства.

Дополнительно CERT Polska описал уязвимости в WebFig, X.509 и других компонентах. Поэтому сводить проблему исключительно к одному багу SSH неправильно.

Кто находится в наибольшей зоне риска

SSH открыт из интернета

Это наиболее критичный сценарий. Именно такие устройства фигурируют в подтверждённых атаках CERT Polska.

Риск: высокий

Management разрешён только через VPN

Путь атаки значительно уменьшается, если SSH не доступен из недоверенных сетей.

Риск: ниже

Домашний MikroTik с default firewall

MikroTik пишет, что для обычных домашних конфигураций непосредственный риск ниже, но обновление всё равно рекомендовано.

Риск: ниже, обновление нужно

Провайдер/офис/серверная

Если RouterOS доступен через публичные management services, обновление должно быть приоритетным.

Риск: высокий

Bandwidth-test открыт наружу

Отдельная CVE затрагивает bandwidth-test, поэтому ненужный сервис также лучше не публиковать.

Риск: повышенный

Старая RouterOS 6

Патч 6.49.21 выпущен, но MikroTik отдельно рекомендует переходить на RouterOS 7.

Риск: зависит от конфигурации

Какие версии RouterOS закрывают уязвимости

Ветка	Версия с исправлением	Что выбрать сейчас
Stable 7.x	7.24.2 и новее	Для большинства актуальных RouterOS 7
Long-term 7.x	7.23.4 и новее	Лучше 7.23.5 или более свежая long-term из-за IPv6-регрессии 7.23.4
Development	7.25 beta3 и новее	Не нужна ради одного security fix, если устройство production
RouterOS 6	6.49.21	Поставить патч и планировать переход на RouterOS 7, если оборудование поддерживается

Если устройство уже находится на более новой версии, содержащей эти исправления, откатываться к указанным минимальным версиям не нужно.

Что сделать владельцу MikroTik прямо сейчас

Сделайте backup и export конфигурации. Сохраните копию вне самого маршрутизатора.
Обновите RouterOS. Для RouterOS 7 используйте актуальную стабильную или long-term ветку, содержащую исправление.
Проверьте SSH. Он не должен быть доступен из любых внешних адресов без необходимости.
Закройте management services с WAN. WinBox, WebFig, SSH, API/API-SSL и другие административные сервисы должны быть доступны только там, где это действительно требуется.
Для удалённого управления используйте VPN. MikroTik прямо рекомендует WireGuard вместо публикации management-портов в интернет.
После обновления проверьте Log на Flagged.
Проверьте конфигурацию вручную. Даже отсутствие Flagged не означает, что аудит можно пропустить.

Самая полезная настройка безопасности

Не существует необходимости открывать SSH или WinBox всему интернету только потому, что администратору иногда нужно зайти удалённо. Поднимите WireGuard и разрешайте управление маршрутизатором уже из VPN-сети.

Что такое статус Flagged в RouterOS

После установки исправленной RouterOS система выполняет проверку и может отметить устройство как Flagged, если обнаружит признаки компрометации.

Сообщение появляется как критическая запись в Log.

Flagged — это не автоматическая очистка

Статус не удаляет вредоносную конфигурацию и не восстанавливает устройство сам по себе. MikroTik рекомендует следовать отдельной процедуре для Flagged devices и тщательно проверять конфигурацию.

Даже если Flagged не появился, MikroTik рекомендует проверить неизвестные scripts, users и другие элементы конфигурации.

Что проверить после обновления

CERT Polska рекомендует искать не только неизвестных пользователей. После возможного захвата RouterOS атакующий может закрепиться в конфигурации несколькими способами.

UsersНет ли новых или изменённых административных учётных записей

ScriptsНет ли неизвестных RouterOS scripts

SchedulerНе появились ли задачи, запускающие неизвестные команды

ProxyНет ли неожиданно включённого proxy или изменённых параметров

TunnelsПроверьте WireGuard, IPsec, GRE, EoIP и другие туннели

FirewallНет ли правил, открывающих management или перенаправляющих трафик

DNSПроверьте DNS servers, static entries и remote requests

FilesНет ли неизвестных файлов, ключей, сертификатов или backup

Если есть реальные признаки компрометации, простого удаления подозрительной строки недостаточно. Следует считать credentials потенциально скомпрометированными, оценить необходимость ротации паролей, ключей VPN и сертификатов, а для критичного устройства рассмотреть чистое восстановление конфигурации.

RouterOS 6 получила патч, но MikroTik рекомендует RouterOS 7

Для старой ветки выпущена RouterOS 6.49.21 с security fix. Однако представитель MikroTik отдельно отметил, что ветка v6 больше не находится в активной разработке и в ней могут оставаться другие необнаруженные проблемы.

Компания рекомендует переходить на RouterOS 7, поскольку в ней реализованы дополнительные механизмы усиления безопасности, которые невозможно полноценно перенести в v6.

Сейчас RouterOS 6 ниже 6.49.21Сначала срочно установить 6.49.21, затем отдельно планировать миграцию.

Устройство поддерживает RouterOS 7Проверить совместимость конфигурации и запланировать переход на v7.

Старое критичное оборудованиеНе делать слепую миграцию. Сначала backup/export, проверка функций и возможность отката.

Почему я не советую специально ставить RouterOS 7.23.4

7.23.4 была первой long-term версией с исправлением MikroTrick, но после релиза пользователи обнаружили регрессию IPv6. В частности, были проблемы с получением IPv6 prefix через DHCPv6/PPPoE.

Уже 4 сентября MikroTik выпустила 7.23.5 long-term, чтобы исправить эту ситуацию.

Практический вывод

Если вы используете long-term, ориентироваться нужно не на «минимальную уязвимость закрывающую 7.23.4», а на актуальную long-term версию. Не ставьте заведомо промежуточный проблемный релиз только потому, что он указан в первом security advisory.

Нужно ли паниковать владельцу домашнего MikroTik

Нет, но обновление откладывать не стоит.

Если используется заводская домашняя конфигурация с firewall, management не открыт наружу, а SSH доступен только из LAN, риск заметно ниже, чем у публично доступного маршрутизатора.

Но безопасность роутера важна сама по себе: через него проходит весь домашний трафик, он управляет DNS, VPN, маршрутизацией и зачастую сегментацией камер, NAS и умного дома.

Для дома приоритет такой:

обновить RouterOS;
закрыть management с WAN;
использовать WireGuard для удалённого управления;
проверить пользователей и scripts;
отключить ненужные services;
проверить firewall input;
после этого уже заниматься дополнительным hardening.

Чем эта проблема отличается от предыдущих CVE MikroTik

На Electrikman уже разбирались уязвимости RouterOS API, связанные с попытками подбора учётных данных и сохранением прежних прав у активной API-сессии. MikroTrick — другая история.

Здесь ключевой риск связан с SSH и несколькими отдельными компонентами RouterOS, а CERT Polska подтвердил реальную эксплуатацию части цепочки. Поэтому новый материал не заменяет предыдущую статью про API, а дополняет её.

Частые вопросы

Если SSH выключен, можно не обновляться?

Нет. SSH является ключевым в подтверждённой цепочке MikroTrick, но CERT Polska описал шесть уязвимостей в разных компонентах RouterOS. MikroTik рекомендует обновление всем пользователям.

Какая версия RouterOS безопасна?

Исправления включены начиная с 7.24.2 stable, 7.23.4 long-term, 7.25 beta3 и 6.49.21. Использовать разумнее актуальную версию соответствующей ветки, а не обязательно минимальную исправленную.

Нужно ли отключать WireGuard?

Нет. Наоборот, MikroTik рекомендует использовать VPN вроде WireGuard для удалённого доступа к управлению вместо публикации SSH и других management services наружу.

Что делать, если в Log появился Flagged?

Следовать официальной инструкции MikroTik для Flagged device, выполнить полный аудит конфигурации и не считать простое обновление достаточным восстановлением.

Если Flagged нет, значит роутер точно чист?

Нет. MikroTik прямо советует проверять unknown scripts, users и конфигурацию даже без Flagged status.

Стоит ли оставаться на RouterOS 6?

6.49.21 закрывает текущую проблему, но MikroTik сообщает, что v6 больше не развивается активно и рекомендует переход на v7 там, где это возможно.

Итог

MikroTrick — одна из тех ситуаций, когда обновление RouterOS действительно нельзя откладывать «до удобного случая». CERT Polska подтвердил атаки на устройства, доступные по SSH из интернета, а MikroTik выпустила исправления для всех основных веток.

Но правильная реакция состоит не только из кнопки Update. После обновления нужно закрыть ненужный внешний management, проверить Flagged, пользователей, scripts, scheduler, tunnels и firewall.

Главный долгосрочный вывод ещё проще: интерфейс управления маршрутизатором не должен быть публичным сервисом. Для удалённого администрирования используйте VPN, а SSH, WinBox, WebFig и API разрешайте только из доверенных сетей.