🔥 Роутер MikroTik уже может быть взломан: ищи SSH-пользователя «-2» Эксплуатация связки CVE-2026-67276 и CVE-2026-86060 — MikroTrick — началась раньше, чем MikroTik выпустил исправления. Первый позволяет обойти аутентификацию по RSA-ключу: зная действительное имя пользователя и публичную часть ключа, атакующий создаёт поддельный ключ и входит без приватной части. Второй повышает привилегии до полного администратора. Цепочка даёт полный контроль над любым RouterOS с SSH, открытым в интернет. Исправления вышли 3 сентября: 7.25beta3, 7.24.2, 7.23.4, 6.49.21, позже 7.23.5. Первые атаки датированы 2 сентября — за день до исправлений. Значит, это уязвимость нулевого дня. По данным securityaffairs, в логах видны характерные следы: неудачные попытки входа с пользователем -2, которого в нормальных конфигурациях нет. Успешная атака оставляет в /system history запись вида ssh:-2@<IP>, за которой сразу идёт изменение конфигурации: создание пользователя, SSH-ключа, скрипта, правила фаервола или туннеля. Учётная запись «ops» — уже подтверждённый индикатор компрометации. Большая часть атак шла с 82.192.72[.]4 — IP-адреса Leaseweb, где лежали busybox (MIPS 2010 года), ftpsrv.py, launch.sh и serve.py. Три из четырёх файлов не обнаруживаются антивирусами. Второй IP-адрес — 103.102.31[.]18. MikroTik впервые в истории разослал уведомления через своё мобильное приложение, призывая обновиться. Если SSH был открыт наружу, простое обновление не решает проблему: компрометация могла произойти до установки исправлений. Нужно проверить /system history и логи на предмет -2 и действий с учётными записями, фаерволом, скриптами. Отсутствие следов не означает, что система чиста: логи могли быть перезаписаны. Исправление устраняет уязвимость, но не отменяет уже случившийся вход. Если MikroTik годами стоял без обновлений и с SSH наружу, я бы не тратил время на очистку: переустановка с нуля и восстановление конфигурации из проверенной резервной копии до 2 сентября. Иначе можно получить «отремонтированный» роутер с закладкой. #MikroTik #RouterOS #MikroTrick #SSH #0day