Lỗ hổng chuỗi trên MikroTik RouterOS cho phép chiếm quyền quản trị
"CERT Polska reported a chained exploit against MikroTik RouterOS SSH that combines CVE-2026-67279, an SSH state-machine flaw, with CVE-2026-86060, an argument-injection issue in the login process. The chain can let an unauthenticated attacker reach a privileged console and take full administrative control of Internet-exposed routers; MikroTik patched the issues in RouterOS 6.49.21, 7.23.4, and 7.24.2."
Ảnh hưởng ở mức nghiêm trọng vì có thể dẫn tới chiếm quyền quản trị từ xa trên router lộ Internet. Dấu hiệu khai thác đã được ghi nhận, nên cần vá ngay và kiểm tra dấu vết xâm nhập.
Có thể gây gián đoạn mạng, rò rỉ cấu hình và ảnh hưởng đến thiết bị biên đang phục vụ nhiều người dùng. Nếu bị chiếm quyền, việc khôi phục có thể tốn thời gian vận hành và yêu cầu thay đổi toàn bộ thông tin xác thực.
CERT Polska cho biết một chuỗi khai thác trên MikroTik RouterOS SSH có thể giúp kẻ tấn công giành quyền quản trị đầy đủ trên các router lộ ra Internet mà không cần mật khẩu, SSH key hay xác thực hoàn tất. Chuỗi này, được gọi là MikroTrick, kết hợp CVE-2026-67279 — lỗi state-machine trong SSH — với CVE-2026-86060 — lỗi argument injection trong tiến trình đăng nhập.
Theo phân tích, CVE-2026-67279 có thể đưa phiên SSH sang giai đoạn thực thi lệnh dù chưa xác thực xong. Sau đó, CVE-2026-86060 bị lợi dụng để chuyển đầu vào thành tham số chương trình đăng nhập, từ đó mở console đặc quyền. Dấu vết thường thấy trong log là lần đăng nhập thất bại với tên người dùng -2.
MikroTik đã phát hành bản vá trong RouterOS 6.49.21, 7.23.4 và 7.24.2. Quản trị viên nên cập nhật ngay, kiểm tra log SSH, rà soát tài khoản lạ như ops, các tác vụ scheduler, script, tunnel/proxy và file chẩn đoán bất thường. Nếu phát hiện dấu hiệu xâm nhập, cần cô lập thiết bị, lưu giữ log/cấu hình và khôi phục từ cấu hình tin cậy thay vì phục hồi bản sao lưu nghi bị ảnh hưởng.