MikroTik RouterOS po MikroTrick – jak zabezpieczyć router przed przejęciem

Router MikroTik bardzo często pełni rolę pierwszej linii obrony całej sieci. Obsługuje routing, NAT, VPN, reguły firewalla, VLAN-y, dostęp administracyjny i nierzadko łączy ze sobą dziesiątki lub setki urządzeń. Jeżeli taki sprzęt zostanie przejęty, atakujący nie zdobywa po prostu kolejnego konta w firmowej sieci. Dostaje kontrolę nad urządzeniem stojącym dokładnie na jej granicy.

We wrześniu 2026 roku problem stał się szczególnie poważny za sprawą zestawu podatności RouterOS określanych jako MikroTrick. CERT Polska potwierdził aktywne ataki wykorzystujące kombinację luk, która w określonych konfiguracjach może prowadzić do pełnego przejęcia routera bez znajomości hasła.

Jeżeli administrujesz MikroTikiem, nie wystarczy więc pytanie „czy mam silne hasło?”. Znacznie ważniejsze jest to, czy panel administracyjny i SSH są dostępne z Internetu oraz czy RouterOS jest aktualny.

Czym jest MikroTrick?

MikroTrick nie jest pojedynczą podatnością. To łańcuch kilku błędów w RouterOS, z których szczególnie interesujące są CVE-2026-67276 oraz CVE-2026-86060.

Pierwsza z nich dotyczy mechanizmu uwierzytelniania SSH i może pozwolić na obejście części zabezpieczeń związanych z kluczami RSA. Druga dotyczy obsługi określonych nazw użytkowników podczas logowania SSH i może prowadzić do eskalacji uprawnień. Połączenie tych problemów tworzy znacznie groźniejszy scenariusz niż każda z luk rozpatrywana osobno.

W praktyce wygląda to jak klasyczny łańcuch ataku:

dostęp do usługi → obejście uwierzytelniania → eskalacja uprawnień → pełna kontrola nad routerem.

CERT Polska potwierdził przy tym, że obserwowane ataki przeciwko urządzeniom RouterOS rzeczywiście wykorzystywały tę kombinację. Nie jest to więc wyłącznie akademicki scenariusz z laboratorium.

Więcej technicznych szczegółów dotyczących samego ataku i podatności opisaliśmy w Bugstoday:

MikroTik RouterOS is Under Active Attack — MikroTrick Can Take Over the Router

Dlaczego otwarte SSH jest tutaj problemem?

SSH samo w sobie nie jest złym rozwiązaniem. Wręcz przeciwnie — jest standardowym mechanizmem administracyjnym i przy prawidłowej konfiguracji pozostaje bardzo użyteczne.

Problem zaczyna się wtedy, gdy port SSH RouterOS jest wystawiony bezpośrednio do Internetu.

Automatyczne skanery nie potrzebują wiedzieć, jaki model MikroTika stoi pod danym adresem IP. Mogą sprawdzić standardowe porty, wykryć odpowiedź SSH, zidentyfikować wersję lub zachowanie usługi, a następnie próbować wykorzystać znane podatności.

W przypadku MikroTrick CERT Polska potwierdził właśnie ataki na urządzenia, których SSH było dostępne z publicznych sieci.

To prowadzi do bardzo prostej zasady:

Jeżeli nie musisz zarządzać MikroTikiem przez Internet, nie wystawiaj SSH do Internetu.

Znacznie lepszym rozwiązaniem jest dostęp administracyjny przez VPN, ograniczenie źródłowych adresów IP albo osobną sieć zarządzającą.

Aktualizacja RouterOS to pierwszy krok

MikroTik udostępnił poprawki w kilku gałęziach RouterOS. Producent wskazuje wersje:

• RouterOS 7.24.2 i nowsze,
• RouterOS 7.23.4 Long-term i nowsze,
• RouterOS 6.49.21 Long-term i nowsze.

Dostępne są również odpowiednie wydania nowszych gałęzi rozwojowych.

Warto jednak pamiętać o jednej rzeczy: aktualizacja routera nie powinna kończyć procesu.

MikroTik poinformował, że po aktualizacji RouterOS może sprawdzić urządzenie pod kątem oznak kompromitacji. Jeżeli sprzęt zostanie oznaczony jako Flagged, administrator powinien dokładnie przeanalizować konfigurację. Producent zaleca również sprawdzenie nieznanych użytkowników, skryptów i innych elementów konfiguracji.

To ważne, ponieważ patchowanie urządzenia już przejętego przez atakującego nie usuwa automatycznie jego persistence.

Co sprawdzić po aktualizacji MikroTika?

Po instalacji poprawki warto wykonać krótki audyt.

1. Użytkownicy

Sprawdź listę kont administracyjnych.

Szukaj:

• nieznanych użytkowników,
• nowych kont z wysokimi uprawnieniami,
• nietypowych nazw,
• zmian w grupach użytkowników.

Jeżeli pojawiło się konto, którego nie utworzył administrator, należy traktować je jako potencjalny ślad kompromitacji.

2. Skrypty

RouterOS umożliwia automatyzację poprzez skrypty. To potężne narzędzie administracyjne, ale po przejęciu routera może zostać wykorzystane przez napastnika.

Przejrzyj konfigurację pod kątem:

• nowych skryptów,
• schedulerów,
• automatycznych zadań,
• poleceń uruchamianych cyklicznie.

Szczególną uwagę warto zwrócić na elementy, których nikt w organizacji nie pamięta.

3. Reguły firewalla

Atakujący, który uzyska wysokie uprawnienia, może próbować zmienić firewall.

Sprawdź więc:

• nowe reguły,
• nietypowe przekierowania,
• zmiany w NAT,
• reguły pozwalające na dostęp z Internetu,
• przekierowania portów do wewnętrznych hostów.

Jedna dodatkowa reguła NAT może wystarczyć, aby po zakończeniu pierwotnego ataku pozostawić sobie wygodny kanał dostępu.

4. Usługi administracyjne

Nie ma powodu, aby wszystkie usługi zarządzania były dostępne z każdego miejsca.

Warto ograniczyć ekspozycję:

• SSH,
• WinBox,
• WebFig,
• API,
• API-SSL.

Jeżeli dana usługa nie jest potrzebna — wyłącz ją.

Jeżeli jest potrzebna — ogranicz dostęp do konkretnych adresów IP lub sieci administracyjnej.

Najlepszym zabezpieczeniem jest zmniejszenie powierzchni ataku

Router brzegowy powinien mieć możliwie małą powierzchnię administracyjną.

Dobry model wygląda następująco:

Internet → firewall → VPN → sieć zarządzająca → MikroTik

a nie:

Internet → SSH/WinBox/WebFig → MikroTik

To pozornie niewielka różnica architektoniczna, ale ma ogromne znaczenie.

Jeżeli atakujący nie może nawet rozpocząć komunikacji z usługą administracyjną, cała klasa zdalnych ataków staje się znacznie trudniejsza.

Nie wystarczy „mam firewall”

Częsty błąd administratorów polega na założeniu, że router jest bezpieczny, ponieważ posiada firewall.

Firewall MikroTika może być bardzo skuteczny, ale jego konfiguracja musi faktycznie blokować ruch do usług administracyjnych.

Warto sprawdzić nie tylko reguły forward, ale również ruch skierowany do samego routera, czyli chain input.

To właśnie tam powinny znaleźć się ograniczenia dostępu do usług zarządzających.

Przykładowa polityka powinna zakładać:

• domyślną blokadę ruchu przychodzącego do routera,
• jawne dopuszczenie tylko wymaganych usług,
• dostęp administracyjny wyłącznie z zaufanych sieci,
• ograniczenie SSH do konkretnych adresów,
• brak publicznego dostępu do WebFig,
• brak niepotrzebnych usług legacy.

MikroTik jako punkt wejścia do całej sieci

Największym problemem przy przejęciu routera nie jest sam router.

Problemem jest to, co znajduje się za nim.

Po uzyskaniu administracyjnej kontroli nad urządzeniem atakujący może potencjalnie obserwować ruch, zmieniać routing, manipulować DNS, przekierowywać połączenia, modyfikować NAT albo przygotować drogę do kolejnych etapów ataku.

W małej firmie może to oznaczać dostęp do komputerów pracowników.

W większej organizacji router może być elementem infrastruktury łączącej wiele VLAN-ów, serwerów, systemów VPN i urządzeń IoT.

Dlatego bezpieczeństwo RouterOS powinno być traktowane jako element bezpieczeństwa całej infrastruktury, a nie tylko jako problem administratora sieci.

Co zrobić teraz?

Jeżeli masz MikroTika, który może być dostępny z Internetu, warto wykonać następującą kolejność:

1. Sprawdź wersję RouterOS.
2. Zaktualizuj RouterOS do poprawionej wersji.
3. Ogranicz lub wyłącz publiczny dostęp SSH.
4. Sprawdź konta użytkowników.
5. Sprawdź skrypty i schedulery.
6. Przejrzyj firewall oraz NAT.
7. Sprawdź logi pod kątem nietypowych logowań.
8. Zweryfikuj, czy urządzenie nie zostało oznaczone jako Flagged.
9. Jeżeli istnieją oznaki kompromitacji, nie zakładaj, że sama aktualizacja rozwiązała problem.
10. Rozważ dostęp administracyjny wyłącznie przez VPN lub dedykowaną sieć zarządzającą.

MikroTik sam zaleca aktualizację oraz sprawdzenie konfiguracji po instalacji poprawki.

Bugstoday Opinion

MikroTrick przypomina o czymś, o czym administratorzy sieci czasami zapominają: router nie jest magiczną skrzynką stojącą poza systemem bezpieczeństwa.

To komputer z systemem operacyjnym, usługami sieciowymi, mechanizmami uwierzytelniania i własną powierzchnią ataku.

Jeżeli jego SSH jest dostępne z Internetu, urządzenie może zostać znalezione przez automatyczne skanery. Jeżeli RouterOS jest nieaktualny, znana podatność może zamienić tę ekspozycję w realny punkt wejścia.

MikroTrick jest szczególnie nieprzyjemny, ponieważ pokazuje pełny łańcuch: dostęp → obejście zabezpieczeń → eskalacja → przejęcie urządzenia.

Najlepsza konfiguracja bezpieczeństwa MikroTika nie polega więc na znalezieniu kolejnej „magicznej” reguły firewalla. Polega na ograniczeniu tego, co w ogóle może zostać zaatakowane.

Bugstoday verdict: jeśli RouterOS jest podatny i SSH jest wystawione do Internetu, aktualizacja nie jest zadaniem na przyszły tydzień. To zadanie na teraz.

Źródła

• CERT Polska / CSIRT NASK — Vulnerabilities in MikroTik RouterOS software
• CERT Polska / CSIRT NASK — Critical vulnerabilities in MikroTik RouterOS are being actively exploited
• MikroTik — Security Announcements
• MikroTik — Important security update
• MikroTik Forum — RouterOS security update

Polecane wpisy

Konfiguracja MikroTik – Część 41: Dynamiczna kontrola pasma z wykorzystaniem skryptów i warunkowego QoS

Konfiguracja MikroTik – Część 41: Dynamiczna kontrola pasma z wykorzystaniem skryptów i warunkowego QoS W poprzednich częściach serii omówiliśmy integrację Czytaj dalej

Jak skonfigurować IPv6 na routerze z Dual Stack (IPv4 + IPv6)?

Jak skonfigurować IPv6 na routerze z Dual Stack (IPv4 + IPv6)? 🔎 Wprowadzenie W erze rosnącej liczby urządzeń w Internecie, Czytaj dalej