Błąd w logowaniu SSH systemu RouterOS pozwala zdobyć pełne uprawnienia administratora. CERT Polska potwierdza przejmowanie routerów od 2 września. Zamknij SSH, zaktualizuj i sprawdź ślady włamania.
Ten alert jest dla zarządu, CTO i CFO firm, które mają routery lub przełączniki MikroTik z systemem RouterOS. Werdykt: jeśli RouterOS jest starszy niż 6.49.21, 7.23.4 lub 7.24.2, a SSH jest dostępny spoza zaufanej sieci, zaktualizuj urządzenia i zamknij SSH dziś, bo luka pozwala zdobyć pełne uprawnienia administratora routera, a przestępcy już przejmują w ten sposób urządzenia.
Amerykańska agencja CISA 10 września 2026 roku dopisała do katalogu KEV lukę CVE-2026-86060 w MikroTik RouterOS. Katalog KEV to lista podatności, o których CISA ma dowody wykorzystania w prawdziwych atakach. Lukę odkrył Sławomir Rozbicki z CERT Polska, a MikroTik wydał poprawki 3 września 2026 roku, początkowo bez szczegółów, żeby dać czas na aktualizację.
Błąd dotyczy logowania przez SSH: spreparowana nazwa użytkownika pozwala zmienić uprawnienia sesji i uzyskać pełne prawa administratora RouterOS. CERT Polska 5 września potwierdził, że połączenie dwóch luk w SSH, nazwane MikroTrick, jest wykorzystywane do przejmowania routerów, których SSH jest dostępny z internetu. Udane ataki trwają co najmniej od 2 września 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-86060 |
Data dodania do CISA KEV | 2026-09-10 |
Termin naprawy wg CISA | 2026-09-13 |
Produkt | MikroTik RouterOS, logowanie przez SSH |
Wersje zagrożone | Od 6.0 przed 6.49.21, od 7.0 przed 7.23.4, od 7.24 przed 7.24.2 (NVD, CERT Polska). Warunek: napastnik musi dotrzeć do usługi SSH routera; wg MikroTik domyślna konfiguracja blokuje SSH z internetu |
Wersje bezpieczne | 6.49.21 (long-term), 7.23.4 (long-term), 7.24.2 (stable), 7.25 beta 3 (wg MikroTik) |
Typ podatności | Wstrzyknięcie argumentów w logowaniu SSH prowadzące do podniesienia uprawnień do pełnego administratora; CWE-88 |
Ocena CVSS | CERT Polska: 9.2 KRYTYCZNA (CVSS 4.0, z dodatkowym warunkiem ataku). NVD: 9.8 KRYTYCZNA (CVSS 3.1). Atak przez sieć, bez uprawnień i bez udziału użytkownika |
Wyobraź sobie ochroniarza, który przy wejściu wpisuje do systemu imię gościa i poziom dostępu. System przyjmuje wszystko w jednej linii: najpierw imię, potem uprawnienia. Nikt nie sprawdza, czy „imię” nie zaczyna się od znaku, który system odczyta jako początek nowej instrukcji. Gość podaje więc tak ułożone „imię”, że system dopisuje mu uprawnienia dyrektora.
Tak działa ta luka. Router MikroTik przy logowaniu przez SSH niepoprawnie obsługiwał nazwy użytkowników zaczynające się od niedozwolonego znaku. Spreparowana nazwa pozwalała zmienić zestaw uprawnień sesji i w efekcie uzyskać pełną kontrolę nad routerem: zmieniać konfigurację, dodawać konta i przekierowywać ruch firmy.
💡 RouterOS to system operacyjny routerów i przełączników MikroTik. SSH to szyfrowany kanał do zarządzania urządzeniem z wiersza poleceń. Maska uprawnień to zestaw praw, które system przypisuje zalogowanej sesji. MikroTrick to nazwa nadana przez CERT Polska wykorzystywanemu łańcuchowi luk. Status Flagged to ostrzeżenie w logu, które zaktualizowany RouterOS ustawia po wykryciu znanych śladów włamania.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba łączy się przez SSH z routerem | Bez poprawnego logowania nic nie może | Może uzyskać pełne uprawnienia administratora |
Konfiguracja routera | Zmienia ją tylko administrator | Napastnik dodaje konta, skrypty, tunele |
Ruch sieciowy firmy | Trafia tam, gdzie powinien | Może zostać przekierowany lub podsłuchany |
SSH zamknięty dla internetu (ustawienie domyślne wg MikroTik) | Brak dostępu z zewnątrz | Ryzyko ograniczone do sieci wewnętrznej |
Router po aktualizacji | Brak ostrzeżeń | Znane ślady włamania oznaczone statusem Flagged |
źródło: Pexels, Brett SaylesPoniżej typowy przebieg ataku dla tej klasy podatności, zgodny ze wskaźnikami opisanymi przez CERT Polska. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga dostępu sieciowego do usługi SSH routera, dlatego najbardziej zagrożone są urządzenia z SSH otwartym do internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie routerów MikroTik z SSH dostępnym z internetu | Lista celów |
2. Wykorzystanie luki | T+minuty | Logowanie przez SSH ze spreparowaną nazwą użytkownika (łańcuch MikroTrick) | Pełne uprawnienia administratora |
3. Utrwalenie | T+minuty | Dodanie własnego konta o wysokich uprawnieniach (CERT Polska wskazuje nazwę ops) | Stały dostęp do routera |
4. Przejęcie ruchu | T+godziny | Skrypty, zadania harmonogramu, serwery proxy i tunele | Podsłuch lub przekierowanie ruchu, router jako punkt przesiadkowy |
5. Dalszy atak | T+dni | Wejście do sieci wewnętrznej firmy | Kradzież danych, kolejne włamania |
Router brzegowy widzi cały ruch firmy i łączy ją z internetem, oddziałami i chmurą. Przejęcie go daje napastnikowi pozycję, z której może podsłuchiwać, przekierowywać ruch i atakować sieć wewnętrzną. Luka ma ocenę krytyczną, CISA uznaje atak za możliwy do automatyzacji i wymaga analizy powłamaniowej, a CERT Polska potwierdza przejmowanie urządzeń.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęty router, konieczność resetu i ponownej konfiguracji, przerwy w dostępie do internetu i VPN | Godziny do dni | 20 tys. do 200 tys. PLN (przestój, rekonfiguracja urządzeń) |
Bezpieczeństwo danych | Podsłuch i przekierowanie ruchu, wejście do sieci wewnętrznej | Godziny | 50 tys. do 300 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty specjalistów, utracona sprzedaż, możliwe oszustwa na przechwyconych danych | Tygodnie | 50 tys. do 600 tys. PLN łącznie |
Reputacyjny | Adres firmy wykorzystany do ataków na innych, wyciek danych klientów | Tygodnie do miesięcy | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla MikroTik RouterOS bez poprawki
z września 2026, z SSH dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy SSH otwartym do internetu prawdopodobieństwo i wpływ są maksymalne, bo ataki są potwierdzone, możliwe do automatyzacji, a skutkiem jest pełna kontrola nad routerem. Przy SSH dostępnym tylko z zaufanej sieci prawdopodobieństwo jest wyraźnie niższe.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie urządzenia MikroTik (także w oddziałach i zarządzane przez firmy zewnętrzne) i ich wersje | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Zablokować dostęp do SSH, WWW i WWW-SSL routera spoza zaufanych sieci zarządzania | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować RouterOS do 6.49.21, 7.23.4 lub 7.24.2 | Dziś | Administrator sieci |
4 | 🔴 NATYCHMIAST | Po aktualizacji sprawdzić log pod kątem statusu Flagged | Dziś | Administrator sieci |
5 | 🟠 PILNIE | Przejrzeć konfigurację: nieznani użytkownicy (m.in. ops), skrypty, zadania harmonogramu, serwery proxy, tunele | Do 1 dnia | Administrator sieci |
6 | 🟠 PILNIE | Urządzenia z oznakami włamania odizolować, zabezpieczyć logi i konfigurację, zgłosić do CSIRT, przywrócić ustawienia fabryczne i zmienić hasła oraz klucze | Do 3 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Przenieść zarządzanie routerami na VPN, np. WireGuard, bez otwartych portów zarządzania | Do 30 dni | CTO |
MikroTik wydał poprawki dla wszystkich kanałów wydań 3 września 2026 roku. CERT Polska podkreśla, że środki tymczasowe nie zastępują aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie SSH lub blokada dostępu spoza zaufanych sieci zarządzania (CERT Polska, MikroTik) | Wysoka | Łatwa |
Blokada WWW/WWW-SSL i serwera bandwidth-test spoza zaufanych sieci (CERT Polska) | Wysoka wobec pozostałych luk z tego wydania | Łatwa |
Zarządzanie wyłącznie przez VPN, np. WireGuard (MikroTik) | Wysoka | Średnia |
Niekorzystanie z wbudowanych klientów SSH na niezaktualizowanym routerze (CERT Polska) | Średnia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja RouterOS | Starsza niż 6.49.21, 7.23.4 lub 7.24.2 | Wersja z poprawką |
Dostęp do SSH | Otwarty do internetu | Tylko przez VPN lub z zaufanych adresów |
Konta na routerze | Niezweryfikowane | Tylko znane konta, nieznane usunięte |
Skrypty, tunele, proxy | Nikt nie sprawdzał | Przejrzane i udokumentowane |
Wiedza o włamaniu | Brak | Log i status Flagged sprawdzone, decyzja o analizie podjęta |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); CERT Polska potwierdza ataki łańcuchem MikroTrick od co najmniej 2 września 2026; CISA SSVC: wykorzystanie aktywne, atak możliwy do automatyzacji, pełny wpływ |
Grupy przestępcze | Brak publicznych informacji o nazwie grupy; wg CERT Polska udane ataki pochodziły z jednego adresu IP |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | CERT Polska 9.2 KRYTYCZNA (CVSS 4.0); NVD 9.8 KRYTYCZNA (CVSS 3.1) |
PoC dostępny publicznie? | Brak oficjalnego PoC; Nick Pratley 4 września opublikował analizę poprawki z odtworzeniem przejęcia uprawnień, ale z sesji z poświadczeniami |
Liczba atakowanych firm | Brak publicznych informacji |
Wymóg CISA | Analiza powłamaniowa (forensic triage) dla tej pozycji KEV |
Rozbieżności w źródłach | Opis CVE: wystarczy nieuwierzytelniona sesja SSH; Pratley nie odtworzył ataku bez poświadczeń. CERT Polska nie wskazuje w tekście, które dwie luki tworzą łańcuch; KEV zawiera CVE-2026-86060 i CVE-2026-67277, bez CVE-2026-67276 |
Sygnały zagrożenia dla CVE-2026-86060
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (CERT Polska) 9.2/10 ██████████████████░░ KRYTYCZNA
Automatyzacja (SSVC) TAK ████████████████████ możliwa
Ataki (CERT Polska) TAK ████████████████████ od 2 września 2026
CISA KEV TAK ████████████████████ analiza powłamaniowa wymagana 2026-09-02 Początek udanych ataków łańcuchem MikroTrick (wg CERT Polska)
2026-09-03 MikroTik wydaje 7.24.2, 7.23.4, 6.49.21 i publikuje biuletyn
2026-09-04 Rezerwacja CVE-2026-86060; publiczna analiza poprawki (Nick Pratley)
2026-09-05 CERT Polska publikuje opis luk, publikacja CVE-2026-86060
2026-09-08 CISA w ocenie SSVC oznacza wykorzystanie jako aktywne
2026-09-10 CISA dodaje lukę do katalogu KEV
2026-09-11 NVD kończy analizę i nadaje ocenę 9.8
2026-09-13 Termin naprawy wg CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta: MikroTik, September 2026 vulnerability . Zalecenia i wskaźniki włamania: CERT Polska, Critical vulnerabilities in MikroTik RouterOS are being actively exploited . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-86060 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać listę urządzeń MikroTik z wersjami i informacją, czy SSH jest dostępny z internetu | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastowe zamknięcie SSH i aktualizację, także poza godzinami pracy | CTO | DZISIAJ |
3 | Potwierdzić sprawdzenie logów, statusu Flagged i kont na każdym urządzeniu | CTO | DO JUTRA |
4 | Ustalić z firmami zewnętrznymi zarządzającymi siecią, kto i kiedy aktualizuje ich routery | CFO | DO JUTRA |
5 | Zapewnić budżet na analizę powłamaniową i rekonfigurację, jeśli wykryto oznaki włamania | CFO | DO JUTRA |
6 | Przygotować zgłoszenie do CSIRT i ocenę obowiązku zgłoszenia do UODO na wypadek potwierdzonego włamania | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile urządzeń MikroTik mamy i w jakich wersjach RouterOS? | [liczba], [wersja] | 🔴 |
2 | Czy SSH na którymkolwiek routerze jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Kiedy zainstalowano wersję 6.49.21, 7.23.4 lub 7.24.2? | [data] | 🔴 |
4 | Czy któreś urządzenie ma w logu status Flagged? | TAK / NIE | 🔴 |
5 | Czy na routerach są nieznane konta, np. ops? | TAK / NIE | 🟠 |
6 | Czy w konfiguracji są nieznane skrypty, zadania harmonogramu, proxy lub tunele? | TAK / NIE | 🟠 |
7 | Czy zarządzanie routerami odbywa się wyłącznie przez VPN? | TAK / NIE | 🟡 |
CVE-2026-86060 pozwala przez SSH zdobyć pełne uprawnienia administratora routera MikroTik, a CERT Polska potwierdza przejmowanie urządzeń od początku września 2026 roku. Zamknięcie SSH dla internetu, aktualizacja do 6.49.21, 7.23.4 lub 7.24.2 i sprawdzenie logów, kont oraz statusu Flagged to zadania na dziś, a urządzenia z oznakami włamania wymagają pełnej odbudowy konfiguracji.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.