Routerövertaganden gör uppdateringen akut

MikroTik RouterOS behöver en snabb säkerhetsinsats i miljöer där managementtjänster kan nås från internet. CERT Polska bekräftar angrepp som kombinerar SSH-brister för att ta full kontroll utan autentisering. Den 10 september 2026 lade CISA dessutom till CVE-2026-86060 och CVE-2026-67277 i Known Exploited Vulnerabilities, KEV. LabOps IT bedömer exponerade, okorrigerade routrar som Akut.

Den praktiska risken är större än ett förlorat administratörskonto. En router ligger mellan nät och kan bära VPN, DNS, segmentering och fjärradministration. LabOps IT:s analys är att ett övertagande därför måste behandlas som en potentiell nätverksincident, även när användarna inte märker något avbrott. Att trafiken fortfarande fungerar är inte ett tillräckligt friskhetstecken.

CISA anger den 13 september 2026 som åtgärdsdatum för de berörda federala myndigheterna i USA. Det är inte ett allmänt svenskt krav, men understryker det korta åtgärdsfönstret. Ransomware-användning anges som okänd. KEV bekräftar exploatering, inte att varje RouterOS-installation har angripits.

Tre centrala CVE:er – olika konsekvenser

CERT Polska beskriver CVE-2026-67276, SSH-autentiseringsförbikoppling, med CVSS 9,2. Felet rör otillräcklig kontroll av en RSA-nyckel. Med viss kännedom om kontot och dess publika nyckel kan angriparen få en session utan rätt privatnyckel.

CVE-2026-86060 har också CVSS 9,2 i CERT Polskas genomgång. Felaktig hantering av användarnamn i SSH-inloggningen kan ändra den betrodda behörighetsmasken och ge fulla administrativa rättigheter. CVE-2026-67277, CVSS 8,8, gäller bandwidth-test-tjänsten och kan medge oautentiserad läckning av kärnminne eller överbelastningsangrepp som startar om systemet.

Dessa poäng innebär Critical för de två 9,2-fynden och High för 8,8-fyndet enligt CVSS-gränserna. MikroTiks egen bulletin kallar paketet en viktig säkerhetsuppdatering utan separat CVSS-tabell. Artikelns Akut/Hög-prioritering är LabOps IT:s operativa bedömning, inte ytterligare leverantörsklassning.

CERT Polska rapporterar sex brister totalt. Det är därför viktigt att inte anta att två valfria CVE:er automatiskt utgör hela MikroTrick-kedjan. Forskarna bekräftar fungerande angrepp och korrigeringarnas effekt; något publikt exploitpaket har inte verifierats för denna artikel. Patchning ska ändå inte invänta en offentlig PoC.

Berörda och korrigerade versioner

CERT Polskas versionsmatris anger följande för CVE-2026-86060 och CVE-2026-67277: RouterOS 6.0.0 till före 6.49.21, 7.0.0 till före 7.23.4, samt 7.24 till före 7.24.2. För CVE-2026-67276 börjar det äldre 7.x-intervallet vid 7.9; även 7.24 före 7.24.2 berörs. Intervallen ska läsas per releasegren.

MikroTik anger korrigeringar i 6.49.21, 7.23.4, 7.24.2 och 7.25beta3. CERT Polska identifierar de första tre som Long-term, Long-term respektive Stable. Välj en stödd korrigerad nivå i den kanal som passar miljön; en produktionsrouter behöver inte flyttas till beta när en lämplig stabil korrigering finns.

Inventera både fysiska RouterBOARD-enheter och virtuella RouterOS-instanser. Dokumentera version, hårdvara, uppdateringskanal, managementadresser och ansvarig driftgrupp. Kontrollera även reservroutrar och bortglömda labbenheter: de kan vara anslutna med större behörigheter än deras verksamhetsbetydelse antyder.

Tillfällig mitigering och patchordning

MikroTik rekommenderar att SSH inte är öppet mot obetrodda nät. Standardkonfigurationen blockerar internetåtkomst till porten, men manuella regler kan ha ändrat detta. Tillåt endast betrodda administrationsadresser eller använd en skyddad VPN-väg. Leverantören uppmanar alla användare att uppgradera, även om vanliga hemkonfigurationer inte bedöms ha omedelbar risk.

LabOps IT rekommenderar denna ordning:

  1. Akut: stäng obetrodd åtkomst till management, säkra relevanta loggar och uppdatera internetexponerade routrar.
  2. Hög: uppdatera internt nåbara routrar där klienter, leverantörer eller breda servernät kan nå administrationen. Intern adress är inte samma sak som isolerad attackyta.
  3. Planerad kontroll: följ upp redan korrigerade, strikt isolerade enheter med versionsbevis, konfigurationsgranskning och bekräftad åtkomstkontroll. Detta är verifiering, inte tillstånd att lämna sårbar kod kvar.

Skilj på regler för trafik till routern och trafik genom den. Kontrollera IPv4 och IPv6, alternativa portar, VPN-gränssnitt och eventuella publiceringsregler. Testa från en extern kontrollpunkt att management verkligen är blockerat. En regel som ser korrekt ut i konfigurationen behöver också verifieras i verklig trafik.

Leta efter intrång – även utan Flagged

MikroTik beskriver en startkontroll som kan markera misstänkt konfiguration med Flagged, skriva en kritisk logghändelse och stänga av upptäckta poster. Granska status med /system/device-mode/print. Mekanismen är en hjälp för upptäckt och begränsning, inte en garanti för fullständig sanering.

Kontrollera administratörer, skript, schemalagda aktiviteter, proxyfunktioner, tunnlar och andra ändringar mot en känd god baslinje. LabOps IT rekommenderar att även granska DNS, NAT, brandväggsregler och nycklar utifrån routerns funktion. Utred vem som gjorde ändringen och när, i stället för att enbart bedöma om namnet ser bekant ut.

En Flagged-markering eller annan trovärdig avvikelse ska leda till incidenthantering. Säkra loggar och konfiguration före återställning. Bevara insamlingstid, enhetens identitet och vem som hanterat materialet. Frånvaro av markering utesluter inte tidigare intrång; en angripare kan ha lämnat andra spår än dem kontrollen känner igen.

Säkra bevis före återställning och återför endast granskad konfiguration till en betrodd router.

Driftpåverkan och säker återställning

LabOps IT rekommenderar att uppdateringen planeras med ett kort kontrollerat trafikavbrott och fungerande lokal eller separat återställningsåtkomst. Gör inte en kritisk fjärrändring om den enda administrationsvägen går genom den router som uppdateras utan att först ordna reservåtkomst.

Verifiera backupens ålder och ursprung. Vid misstänkt intrång är en full backup från den angripna enheten inte automatiskt betrodd. Den kan innehålla samma konton, tunnlar eller skript som behöver tas bort. Säkra den som bevis, men separera bevismaterialet från konfigurationen som ska återföras till produktion.

Efter installation bör driftteamet kontrollera aktiv RouterOS-version, routing, VPN, DNS, brandväggspolicy och övervakning. För redundanta par behövs en verifierad failoverplan; anta inte att en andra router har kapacitet eller korrekt konfiguration bara för att den svarar på ping.

Vid bekräftat eller starkt misstänkt övertagande ska återställningen omfatta en betrodd ren grund och granskad konfiguration. Rotera relevanta lösenord, nycklar och andra hemligheter efter att betrodd administration etablerats. Dokumentera särskilt vilket material som kan ha varit åtkomligt och vilka anslutna system som behöver granskas.

LabOps IT:s bedömning

MikroTrick är Akut för okorrigerade internetexponerade RouterOS-system. Aktiv exploatering och möjlighet till full administration väger tyngre än att leverantörens standardkonfiguration normalt minskar exponeringen. För internt nåbara sårbara system är prioriteten Hög, med snabb patchning och minskad managementyta.

Arbeta i två spår: stoppa nya angrepp och utred tidigare åtkomst. En uppdatering stänger sårbar kod men ersätter inte incidentanalys. Målet är en verifierad korrigerad router med betrodd konfiguration, begränsade administrationsvägar och dokumenterad återställning.

Källor