Router MikroTik sotto attacco: aggiornare non basta, bisogna anche controllare

Il router è quella scatola nell’armadio di rete che nessuno tocca da anni. L’ha installato il fornitore della connessione, o il tecnico di fiducia, e da allora “funziona”. Nelle piccole aziende, nelle scuole e nelle associazioni con cui lavoriamo capita spesso che sia un MikroTik: costa poco, è molto flessibile ed è diffusissimo tra installatori e piccoli provider locali.

Proprio questi dispositivi sono al centro di una campagna di attacchi in corso da inizio settembre, e nelle ultime ore il quadro si è fatto più chiaro.

Cosa è successo

A inizio mese il CERT polacco (CERT Polska) ha segnalato che alcune vulnerabilità di RouterOS, il sistema operativo dei router MikroTik, venivano sfruttate attivamente. Il 23 settembre lo stesso CERT ha pubblicato un’analisi tecnica dettagliata, ripresa da The Hacker News, che spiega come funziona la catena di attacco, soprannominata MikroTrick.

In parole semplici: combinando due difetti (identificati come CVE-2026-67279 e CVE-2026-86060), un attaccante può collegarsi al router tramite SSH, il servizio usato per amministrarlo da remoto, e ottenerne il pieno controllo come amministratore, senza conoscere alcuna password né possedere chiavi di accesso. Il primo difetto gli permette di “saltare” la fase di autenticazione; il secondo di alzare i propri privilegi fino al livello massimo.

Secondo CERT Polska, i primi attacchi risalgono almeno al 2 settembre, cioè il giorno prima che MikroTik rilasciasse gli aggiornamenti. BleepingComputer, citando i dati della Shadowserver Foundation, ha riportato che a inizio settembre erano circa 122.500 i dispositivi MikroTik con il servizio SSH raggiungibile da Internet.

Una nota di chiarezza: alcune testate hanno citato anche una terza falla, la CVE-2026-67276. Il CERT precisa che si tratta di una vulnerabilità diversa, anch’essa corretta, ma che richiede condizioni più specifiche per essere sfruttata.

Perché ora il rischio è più alto

La pubblicazione dei dettagli tecnici è utile a chi difende, ma rende la vita più facile anche a chi attacca. Quando il funzionamento di una falla diventa pubblico, di solito aumentano i tentativi automatici contro i dispositivi non ancora aggiornati. E un router di una piccola organizzazione, gestito “a chiamata”, è esattamente il tipo di dispositivo che resta indietro con gli aggiornamenti per settimane o mesi.

Aggiornare non cancella quello che è già successo

Il punto che ci preme sottolineare è questo: installare la patch chiude la porta, ma non caccia chi è già entrato.

Secondo la ricostruzione del CERT, una volta dentro gli attaccanti hanno creato un nuovo utente amministratore chiamato “ops” e modificato la configurazione: script, attività pianificate, proxy e tunnel. Sono tutte modifiche che sopravvivono all’aggiornamento. Un router compromesso può quindi continuare a instradare traffico per conto dei criminali, fare da punto d’appoggio per entrare nella rete interna o intercettare comunicazioni, anche dopo essere stato aggiornato.

In Security Smart lo vediamo spesso con i dispositivi di rete: si interviene quando esce l’allerta, si aggiorna, e ci si ferma lì. Per i router esposti durante le settimane di attacco serve un passo in più: la verifica.

Il lato privacy e NIS2

Un router compromesso non è solo un problema tecnico. Da lì passa tutto il traffico dell’organizzazione: email, accessi ai gestionali, dati di clienti, dipendenti, studenti o soci. Se si scopre che il dispositivo è stato manomesso, occorre valutare se c’è stata una violazione di dati personali e, se ne ricorrono i presupposti, notificarla al Garante entro 72 ore.

Per i soggetti che rientrano nella NIS2, poi, la gestione degli aggiornamenti e degli accessi amministrativi ai dispositivi di rete fa parte delle misure di sicurezza che devono poter dimostrare di aver adottato.

Cosa fare, in pratica

• Scoprite se avete un MikroTik. Sembra banale, ma spesso non lo sa nessuno. Chiedete al vostro fornitore della connessione o al tecnico che gestisce la rete quale router usate e chi ne ha le credenziali. Se è gestito dal provider, chiedete per iscritto se è stato aggiornato.
• Aggiornate RouterOS. Le versioni corrette indicate da MikroTik sono la 7.24.2, la 7.23.4 e, per il ramo più vecchio, la 6.49.21. Se l’aggiornamento non è possibile subito, il CERT consiglia di disattivare temporaneamente i servizi di amministrazione esposti, come SSH e l’interfaccia web.
• Chiudete l’amministrazione da Internet. SSH e pannello web del router non dovrebbero essere raggiungibili da chiunque. Limitate l’accesso alla rete interna o a indirizzi precisi, oppure passate da una VPN.
• Cercate le tracce di compromissione. Controllate se esistono utenti che non riconoscete (in particolare uno chiamato “ops”), script o attività pianificate sconosciute, tunnel o proxy non configurati da voi. Il CERT suggerisce anche di verificare lo stato del dispositivo con il comando /system/device-mode/print: se risulta “flagged”, va considerato a rischio.
• Se trovate qualcosa, ripartite da zero. Un router compromesso va isolato, riportato alle impostazioni di fabbrica e riconfigurato, cambiando tutte le password e le chiavi usate. Nel frattempo documentate cosa avete trovato: servirà per valutare gli obblighi di notifica.

Matteo Gianniello — Consulente privacy e cyber security