La cadena de exploits MikroTrick, descubierta con ayuda de modelos de IA por el CERT de Polonia, permite tomar control total de dispositivos con SSH expuesto a internet, y ya afecta a 122.500 equipos identificados. (Fuente: BleepingComputer)
Hackers están explotando una cadena de dos vulnerabilidades reveladas recientemente en routers MikroTik para tomar control de dispositivos con servicios SSH expuestos a internet. Uno de los problemas de seguridad, identificado como CVE-2026-67276, es una falla de evasión de autenticación SSH en MikroTik RouterOS causada por una validación incompleta de claves públicas RSA. Un atacante que conoce un nombre de usuario y el módulo público de la clave de ese usuario puede explotarlo armando una clave distinta e iniciando sesión sin necesidad de la clave privada legítima.
El segundo problema de seguridad, identificado como CVE-2026-86060, es una falla de escalamiento de privilegios SSH en MikroTik RouterOS debido al manejo inapropiado de nombres de usuario especialmente diseñados. Los hackers pueden aprovecharla usando un nombre de usuario armado específicamente para manipular la sesión SSH, de modo que el atacante obtiene privilegios administrativos completos.
Ambas vulnerabilidades fueron descubiertas por el CERT de Polonia con ayuda de modelos de IA, y recibieron una calificación de severidad crítica. La agencia polaca bautizó a la cadena de exploits MikroTrick, y advirtió que ya está siendo explotada activamente en la práctica. En los últimos días vienen observando ataques contra dispositivos RouterOS accesibles desde internet, y obtuvieron confirmación de que los atacantes están explotando esta combinación de vulnerabilidades para tomar control total de dispositivos cuyo servicio SSH es accesible desde redes públicas.
El CERT polaco también destacó una tercera falla, CVE-2026-67277, que afecta al servicio de prueba de ancho de banda de RouterOS y permite a atacantes sin autenticación filtrar memoria del kernel o forzar remotamente el reinicio o la caída del router.
MikroTik corrigió las vulnerabilidades en RouterOS 7.25beta3, 7.24.2, 7.23.4 y 6.49.21, lanzadas el 3 de septiembre, y el CERT de Polonia validó las correcciones. En su aviso, el fabricante señala que no todas las configuraciones están afectadas, pero no reveló detalles para darles a los usuarios tiempo de aplicar las actualizaciones de seguridad.
Las actualizaciones suman un mecanismo de detección de compromiso a los routers, que busca señales conocidas de cambios de configuración no autorizados al arrancar, desactiva entradas maliciosas y registra una advertencia crítica. Sin embargo, el CERT aclara que la ausencia de un marcador que indique compromiso no debería tomarse como garantía de que un router no fue comprometido.
Al 5 de septiembre, había 122.500 dispositivos MikroTik con una interfaz SSH expuesta, según datos de The ShadowServer Foundation, aunque no se determinó con exactitud la cantidad de dispositivos vulnerables al exploit de MikroTik.
Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.