už to vydal i oficiálně NÚKIB /takže to bude pro osoby zúčastněné vlastně povinné 😉/ :
Dobrý den,
chceme vás tímto upozornit na zranitelnost ve firmware RouterOS v zařízeních MikroTik, kterou lze před autentizací zneužít k vzdálenému spuštění kódu s administrátorskými oprávněními.
Aktuálně dochází k masovému zneužití této zranitelnosti. Dne 4. září 2026 byla vydána aktualizace RouterOS, v současnosti jsou však na internetu v ČR stále vystaveny tisíce zranitelných zařízení. Útočníci navíc u napadených zařízení upravují konfiguraci, aby si zajistili trvalý přístup k zařízení, který přežije jakoukoli aktualizaci firmware.
Exploit
Logika zneužití je velmi jednoduchá:
- Odeslat požadavek na ověření prostřednictvím SSH s uživatelským jménem „-2“.
- Otevřít kanál relace a vyžádat si PTY. Jelikož je přihlašovací jméno „-2“, „/nova/bin/login“ načte z deskriptoru PTY dvě pole oddělená znaky NULL. Druhé pole představuje desítkovou masku zásad RouterOS, kterou lze vložit, aby se dosáhlo spuštění s plnými oprávněními.
- V rámci exploitačního spojení se neodesílá žádné heslo, klíč, podpis ani jiné přihlašovací údaje. Exploit obchází všechny autentizační mechanismy.
Důkazy o zneužití
• První použití exploitu vygeneruje záznam v protokolu „2025-01-13 15:06:33 system,error,critical login failure for user -2 from 10.90.1.13 via ssh“.
• Další zneužití nevytváří žádné záznamy v protokolu, dokud nevyprší čas relace.
• Změny konfigurace provedené prostřednictvím exploitu generují záznam v protokolu, který obsahuje uživatelské jméno „-2“, například: uživatel user4 odstraněn příkazem ssh:-2@10.90.1.13/action:0 (/user remove *B).
• Síťové připojení nevykazuje chování, které by bylo snadno identifikovatelné, protože proces zneužití využívá běžnou inicializaci relace SSH.
Nápravná opatření
• Nápravná opatření by měla zahrnovat aktualizaci firmware a kompletní revizi konfigurace.
• Hledání známek kompromitace se nemůže opírat pouze o logy, protože ty lze útočníky snadno upravit.
• Zvážit zakázání dostupnosti SSH z veřejného IP prostoru.
• Zvážit kompletní reinstalaci zařízení.
Pokud byla ve vašem případě zranitelnost zneužita, nahlaste prosím kybernetický bezpečnostní incident skrze Hlášení kybernetického bezpečnostního incidentu | Portál NÚKIB.
Užitečné zdroje
• https://cert.pl/en/posts/2026/09/vulnerabilities-in-mikrotik-routeros-actively-exploited/
• https://mikrotik.com/supportsec/september-2026-vulnerability/
• https://portal.nukib.gov.cz/informacni-servis/aktualne/6a9e62651f7e2dbb4903c398
