// TOM'S HARDWARE ITALIA — MOBILE & WEB
Attacco ai router MikroTik: cosa rischiano gli utenti
MikroTik ha rilasciato aggiornamenti urgenti per RouterOS dopo la conferma di attacchi contro router con il servizio SSH raggiungibile da Internet. Gli aggressori sfruttano due vulnerabilità per aggirare l'autenticazione e ottenere il controllo amministrativo dei dispositivi. CERT Polska ha denominato questa catena MikroTrick: nelle compromissioni osservate sono stati creati account con privilegi elevati e modificate le configurazioni dei router.
Il primo punto d'ingresso è CVE-2026-67276, una falla con punteggio CVSS di 9,2 che interessa la verifica delle chiavi durante l'autenticazione. Gli attacchi risultano iniziati almeno un giorno prima della pubblicazione delle versioni corrette, rendendo la vulnerabilità uno zero-day effettivamente sfruttato. Il difetto permette di accedere come un utente esistente senza possedere la sua chiave privata legittima, ma richiede informazioni precise sull'account preso di mira.
Il problema riguarda il modo in cui RouterOS convalida le chiavi pubbliche RSA: il sistema non confrontava l'intera chiave associata all'utente autorizzato, verificandone adeguatamente soltanto una parte. Conoscendo un nome utente valido e il modulo pubblico della relativa chiave RSA, un aggressore può costruire una chiave alternativa che supera erroneamente il controllo.
Da sola, questa vulnerabilità assegna all'intruso gli stessi permessi dell'account impersonato. Se l'utente è già amministratore, l'accesso può quindi offrire direttamente un controllo esteso sul dispositivo. Per gli account limitati entra in gioco CVE-2026-86060, che consente di aumentare i privilegi.
La seconda falla nasce dalla gestione scorretta di nomi utente SSH appositamente costruiti, che iniziano con un carattere vietato. Il difetto permette di manipolare la maschera dei permessi associata alla sessione e raggiungere il controllo amministrativo completo. CERT Polska conferma che la combinazione delle due vulnerabilità consente la compromissione senza credenziali valide quando il servizio è accessibile dall'esterno, ferme restando le informazioni necessarie per sfruttare il primo difetto.
Le due vulnerabilità fanno parte di un gruppo di sei problemi individuati da CERT Polska. Il perimetro comprende server e client SSH, il servizio bandwidth-test, la convalida dei certificati X.509 e l'interfaccia di gestione WebFig. È però la coppia dedicata all'aggiramento dell'autenticazione e all'aumento dei privilegi a essere confermata negli attacchi attivi che portano al controllo completo dei router: i sei difetti non vanno confusi con sei tecniche già osservate sul campo.
Gli aggiornamenti di sicurezza chiudono le vulnerabilità, ma sui dispositivi già compromessi resta il problema degli accessi creati dagli aggressori. Gli account privilegiati e le modifiche alla configurazione possono mantenere aperto un ingresso finché gli amministratori non intervengono per individuare la compromissione e ripristinare il sistema.
Aggiungi Tom's Hardware alle tue fonti preferite su Google