MikroTik RouterOS zranitelnost umožňuje útočníkům za určitých podmínek převzít administrátorskou kontrolu nad routerem bez znalosti hesla. CERT Polska 5. září 2026 zveřejnil informace o šesti zranitelnostech v RouterOS a zároveň potvrdil, že některé z nich jsou již aktivně zneužívány. Pokud je na routeru dostupné SSH z veřejného internetu, může útočník pomocí kombinace těchto chyb získat nad zařízením plnou administrátorskou kontrolu. CERT Polska této útočné kombinaci dal označení MikroTrick a podle jeho zjištění probíhají útoky nejméně od 2. září 2026.
Co je MikroTrick
MikroTrick není samostatná chyba, ale kombinace dvou zranitelností v RouterOS, které je možné využít v řetězci. První z nich umožňuje obejít SSH autentizaci, zatímco druhá umožňuje zneužít SSH relaci k eskalaci oprávnění. Výsledkem může být relace s plnými administrátorskými právy, takže útočník nepotřebuje znát heslo legitimního uživatele a přesto může získat kontrolu nad routerem.
Právě tato kombinace dělá z MikroTik RouterOS zranitelnosti velmi vážný problém především u zařízení, která mají SSH dostupné přímo z internetu.
CVE-2026-67276: obejití SSH autentizace
První zranitelnost má označení CVE-2026-67276 a hodnocení CVSS 9.2. Problém se nachází v ověřování RSA veřejných klíčů používaných při SSH autentizaci. RouterOS při kontrole klíče ověřoval jeho typ a modulus, ale nekontroloval celý veřejný klíč, protože opomíjel exponent.
To umožňuje útočníkovi, který zná uživatelské jméno a veřejný modulus autorizovaného klíče, vytvořit jiný klíč a použít ho k obejití autentizace. K získání přístupu tak nepotřebuje odpovídající privátní klíč a po úspěšném přihlášení získá oprávnění cílového účtu.
CVE-2026-86060: eskalace oprávnění
Druhá důležitá chyba má označení CVE-2026-86060 a také hodnocení CVSS 9.2. Tentokrát je problém v tom, jak RouterOS zpracovává uživatelské jméno během SSH přihlašování. Speciálně upravené uživatelské jméno začínající zakázaným znakem může změnit takzvanou policy mask RouterOS a výsledkem je eskalace oprávnění.
Útočník tak může z původně neautorizované SSH relace získat plná administrátorská práva. Zatímco první chyba tedy řeší problém s autentizací, druhá umožňuje získaná oprávnění posunout až na úroveň administrátora. Právě jejich kombinace tvoří řetězec MikroTrick.
Třetí zajímavá chyba: bandwidth-test
Třetí zranitelnost má označení CVE-2026-67277 a hodnocení CVSS 8.8. Tentokrát se problém týká služby bandwidth-test, která může být v některých konfiguracích dostupná i z internetu.
RouterOS přijímal takzvané „related“ spojení ještě před dokončením autentizace hlavní relace, což umožňovalo neautentizovanému útočníkovi dostat službu do stavu, který měl být dostupný až po přihlášení. Za určitých podmínek pak bylo možné získat neinicializovaná data z kernelového packet bufferu.
Další chyba při kontrole velikosti paketu mohla způsobit integer underflow a následně vést k úniku dat z paměti nebo k restartu RouterOS. Zranitelnost tak může mít dopad nejen na důvěrnost dat, ale také na dostupnost samotného zařízení.
RouterOS má celkem šest zranitelností
CERT Polska zveřejnil celkem šest CVE. Kromě výše uvedených problémů jde také o CVE-2026-67278, která souvisí s ověřováním RSA/PKCS#1 v1.5 podpisů při validaci X.509 certifikátů. Za určitých podmínek může být možné vytvořit podvržený certifikát a následně vydávat certifikáty pro libovolné hostname.
Další chyba, CVE-2026-67279, se týká SSH protokolu. RouterOS může po požadované renegociaci pokračovat do fáze práce se session i bez předchozí autentizace, což může neautentizovanému klientovi umožnit spouštět příkazy a manipulovat se soubory v RouterOS file namespace.
Poslední zranitelnost z této skupiny, CVE-2026-67281, se týká WebFig rozhraní. Chyba v komponentě /jsproxy může umožnit neautentizovaný přístup ke čtení souborů, včetně souborů obsahujících citlivé konfigurační informace.
Útoky už probíhají
Na celé situaci je nejzávažnější skutečnost, že tato MikroTik RouterOS zranitelnost není pouze teoretickým problémem popsaným v laboratorních podmínkách. CERT Polska potvrzuje aktivní útoky proti RouterOS zařízením dostupným z internetu a zveřejnil také konkrétní indikátory kompromitace, které mohou administrátorům pomoci při hledání napadených zařízení.
V logu se mohou například objevit záznamy:
login failure for user -2 from <ip> via ssh
nebo:
user <name> added by ssh:-2@<ip>
CERT Polska zároveň uvádí jako další indikátor přítomnost vysoce privilegovaného účtu s názvem ops.
Zajímavé jsou také konkrétní IP adresy. CERT Polska uvádí, že úspěšné útoky pozorované dosud, včetně vytvoření účtu ops, pocházely z adresy 82.192.72.4, přičemž tato aktivita probíhá nejméně od 2. září 2026. Další adresa 103.102.31.18 byla použita při pokusech o zneužití popsaného řetězce.
Pokud se některý z těchto indikátorů objeví v logu, mělo by následovat okamžité vyšetření zařízení. Zároveň ale platí, že pokud tyto stopy nenajdete, neznamená to automaticky, že router kompromitován nebyl.
MikroTik zavedl mechanismus Flagged
MikroTik do opravených verzí přidal mechanismus, který při startu RouterOS kontroluje konfiguraci zařízení. Pokud nalezne známé stopy neoprávněných změn, může podezřelé konfigurace deaktivovat, zapsat kritickou zprávu do logu a zařízení označit jako Flagged.
Stav lze kontrolovat například pomocí příkazu:
/system/device-mode/print
Mechanismus má ale své limity a dokáže hledat pouze známé stopy po kompromitaci. Absence příznaku Flagged proto není důkazem, že je zařízení bezpečné.
Po aktualizaci je proto vhodné zkontrolovat také neznámé uživatele, skripty, scheduler úlohy, proxy servery, tunely a další nečekané změny konfigurace.
Aktualizace je opravdu důležitá
MikroTik vydal opravy ve verzích 6.49.21, 7.23.4, 7.24.2 a 7.25beta3. U řady 7.23 však byla následně vydána verze 7.23.5, protože 7.23.4 způsobila problém s IPv6 DHCP. Pro uživatele long-term větve je proto aktuálně vhodné používat právě 7.23.5.
Pokud vaše zařízení používá zranitelnou verzi RouterOS, je potřeba tuto MikroTik RouterOS zranitelnost řešit aktualizací na opravenou verzi. Samotné omezení přístupu k SSH může riziko výrazně snížit, ale nenahrazuje instalaci bezpečnostní aktualizace.
MikroTik původně 3. září zveřejnil pouze stručné bezpečnostní upozornění a technické podrobnosti nezveřejnil, aby měli administrátoři čas zařízení aktualizovat. CERT Polska následně 5. září zveřejnil technické informace a zároveň upozornil na aktivní zneužívání.
Co dělat, pokud router zatím nejde aktualizovat
Nejlepší řešení je samozřejmě aktualizace. Pokud to okamžitě není možné, je vhodné alespoň zmenšit útočnou plochu a veřejně dostupné služby vypnout nebo jejich přístup omezit pouze na důvěryhodné administrační sítě.
Týká se to především SSH, WWW/WWW-SSL a bandwidth-test serveru. CERT Polska zároveň doporučuje na neaktualizovaném zařízení nezahajovat TLS spojení a nepoužívat vestavěné SSH klienty RouterOS, například /system ssh a /system ssh-exec, zejména směrem k nedůvěryhodným hostům.
Tato opatření je ale potřeba chápat pouze jako dočasnou ochranu. Nenahrazují instalaci opravené verze RouterOS.
Co dělat při podezření na kompromitaci
Pokud se objeví indikátory kompromitace nebo je zařízení označené jako Flagged, je potřeba předpokládat, že router mohl být převzat. Router by měl být izolován od sítě a před resetem je vhodné zajistit logy a konfiguraci pro další analýzu.
Následně CERT Polska doporučuje zařízení obnovit do továrního nastavení a překonfigurovat jej z důvěryhodné konfigurace. Není vhodné slepě obnovit kompletní zálohu z potenciálně kompromitovaného zařízení, protože by se do něj mohly vrátit i nežádoucí změny.
Současně je potřeba změnit používaná hesla, klíče a další tajné údaje, které mohly být prostřednictvím kompromitovaného routeru ohroženy.
Zranitelnosti objevil tým CERT Polska s pomocí AI
Na celé kauze je zajímavá ještě jedna věc. CERT Polska uvádí, že zranitelnosti objevil jeho tým s využitím modelů GPT-5.5-cyber a GPT-5.6-sol v rámci programu OpenAI Government and Trust Agency Collaboration.
Modely byly použity v agentním výzkumném prostředí, které pomáhalo například s vytvářením a obnovováním testovacích strojů, porovnáváním verzí RouterOS, analýzou RFC dokumentace a binárního kódu nebo tvorbou testovacích skriptů.
Nešlo tedy o jednoduché zadání typu „najdi mi zranitelnost“. CERT připravil izolovanou laboratoř s reálnými MikroTik zařízeními a jednotlivé nalezené scénáře následně ověřovali výzkumníci. Součástí procesu byly také negativní kontrolní testy, opakování testů na čistých zařízeních a posuzování skutečného dopadu jednotlivých chyb.
Co z toho plyne
MikroTik RouterOS zranitelnost je v tomto případě zajímavá především kombinací několika problémů. Jedna chyba umožňuje obejít autentizaci, druhá eskalovat oprávnění a celý řetězec už není pouze laboratorním scénářem, protože CERT Polska potvrzuje jeho aktivní zneužívání.
Pokud tedy někde provozujete MikroTik s SSH dostupným z veřejného internetu, není to aktualizace, kterou bych odkládal. Router je často zařízení, přes které vede cesta k celé síti, a právě proto může být jeho převzetí výrazně závažnější než kompromitace jednoho běžného počítače.
V případě MikroTrick tak nejde pouze o další bezpečnostní aktualizaci RouterOS. Jde o situaci, kdy může útočník za určitých podmínek získat kontrolu nad samotným síťovým prvkem, který má chránit nebo propojovat další zařízení.
Zdroje
CERT Polska – Critical vulnerabilities in MikroTik RouterOS are being actively exploited
https://cert.pl/en/posts/2026/09/vulnerabilities-in-mikrotik-routeros-actively-exploited/CERT Polska – Vulnerabilities in MikroTik RouterOS software
https://cert.pl/posts/2026/09/mikrotik-routeros-cve/MikroTik – September 2026 vulnerability
https://mikrotik.com/supportsec/september-2026-vulnerabilityMikroTik – RouterOS Downloads
https://mikrotik.com/download/routerosMikroTik – RouterOS Changelogs
https://mikrotik.com/download/changelogs
