MikroTrick 攻击链让攻击者无需密码或 SSH 密钥即可接管 MikroTik 路由器

两个 MikroTik RouterOS SSH 漏洞串联在一起，让攻击者无需密码、SSH 密钥或完成认证，即可对暴露在互联网上的路由器取得完全管理控制权。

这条 CERT Polska 称为 MikroTrick 的攻击链，将一个 SSH 状态机缺陷 (CVE-2026-67279) 与 RouterOS 登录进程中的一个参数注入漏洞 (CVE-2026-86060) 结合起来。攻击日志至少可追溯至 9 月 2 日，即 MikroTik 在 RouterOS 6.49.21、7.23.4 和 7.24.2 中发布补丁的前一天。

正如此前所报道，CERT Polska 于 9 月 5 日警告称，攻击者正利用 RouterOS 漏洞控制 SSH 服务可从公共网络访问的设备。

该警告确认了漏洞利用并敦促立即打补丁，但未指明构成该攻击链的是哪两个漏洞，也未解释它们如何结合。这份最新分析则两者兼备。

攻击链如何运作

SSH 需要按顺序完成三个步骤：建立加密连接、认证用户，然后才允许客户端打开会话并运行命令。服务器会发送一条特定消息 (SSH_MSG_USERAUTH_SUCCESS) 来确认认证已通过。

CVE-2026-67279 打破了这一顺序。如果客户端在认证步骤期间启动 SSH 密钥重新协商，存在漏洞的 RouterOS 会在重新协商完成后直接进入命令阶段，而从未确认用户身份。

该缺陷本身不会创建已认证会话或授予任何权限，但它允许未经认证的客户端到达一个本应需要完成登录才能进入的阶段。

CVE-2026-86060 将这种访问变成完全的管理控制权。RouterOS 会启动一个登录程序 (/nova/bin/login)，该程序从 SSH 守护进程接收用户名和权限级别作为命令行参数，而不会先检查用户名。以连字符开头的值会被当作程序选项，而非名称。

攻击者将 -2 作为用户名发送。该登录程序将此视为一条指令，即从文件描述符 2 读取其身份和权限级别，而文件描述符 2 指向 SSH 会话所创建的终端。

通过该 SSH 通道，攻击者已经将选定的用户名和用于完全管理访问的权限值写入了该终端。该登录程序接受两者，并打开一个拥有完全权限的控制台。

补丁前已被利用的证据

该攻击链在设备日志中留下了一个独特的痕迹：针对用户 -2 的一次失败登录尝试。CERT Polska 表示，与此模式相符的日志早在 9 月 2 日就出现在 MikroTik 论坛上，即补丁可用前一天，该团队认为该攻击链在 MikroTik 发布修复之前就已被利用。

MikroTik 论坛上的一份诊断报告显示了一台设备上的攻击序列：对 -2 的认证被拒绝、一次强制重新协商、跳转到通道阶段，以及一个试图创建一个拥有完全权限、名为 ops 的用户的 exec 请求。在该设备上，SSH 进程在命令完成之前崩溃了。

其他报告证实，ops 账户在受影响的设备上被成功创建。在一些事件中，CERT Polska 发现了诊断文件的创建，随后是向一个攻击者 IP 地址的数据传输，这强烈表明配置数据被复制到了攻击者的基础设施。

MikroTrick 攻击链是 CVE-2026-67279 与 CVE-2026-86060 的组合。一些出版物错误地加入了第三个漏洞 CVE-2026-67276，CERT Polska 称这是一个单独的 SSH 漏洞，允许攻击者伪造一个 RSA 密钥以现有用户身份登录。该漏洞需要知道账户名称及其公钥，且仅能访问该账户。

CISA 于 9 月 10 日将 CVE-2026-86060 加入其已知被利用漏洞目录，独立确认了该参数注入漏洞正被积极利用。

该攻击链要求 SSH 可从攻击者处访问。MikroTik 表示其默认家用配置不会将 SSH 暴露到互联网，但更改了防火墙规则或从不信任网络通过 SSH 管理设备的管理员面临更高风险。

尚未发布关于受入侵设备数量的权威统计。

需要检查什么

打补丁可以阻止攻击，但不会移除攻击者在更新前所做的更改。更新后，管理员应通过运行 /system/device-mode/print 检查 Flagged 状态。

CERT Polska 和 MikroTik 均表示，Flagged 机制只能检测选定的入侵痕迹，其不存在并不能证明设备是安全的。

CERT Polska 发布了从观察到的攻击中得到的以下指标：

• 用户名：SSH 登录日志中的 -2
• 账户：完全权限组中的 ops
• IP：82.192.72.4（在成功攻击中观察到）
• IP：103.102.31.18（用于利用尝试）

管理员还应检查是否存在未知用户、脚本、调度器条目、隧道、代理、意外的 .rif 诊断文件或无法解释的 fetch 活动。

如果存在上述任何指标，CERT Polska 建议隔离该设备、保留其日志和配置、恢复出厂设置，并从受信任的配置重建它。

所有密码、密钥和其他凭据都应更改。不应恢复来自受入侵设备的备份。

CERT Polska 在研究期间使用了 AI 模型，包括通过 OpenAI GTAC 计划使用的 GPT-5.5-cyber 和 GPT-5.6-sol，以及本地托管的开放权重模型，来自动化实验室测试和协议分析。每一项发现都针对真实的 RouterOS 系统进行了验证。

The Hacker News 已就这份技术分析联系 CERT Polska 和 MikroTik 征求评论。