Routerul MikroTik din birou: actualizează-l săptămâna asta

Dacă firma ta are un router MikroTik, și în România multe au, săptămâna asta merită un telefon scurt la firma de IT. În septembrie, agenția americană de securitate cibernetică (CISA) a trecut trei vulnerabilități din RouterOS, sistemul de operare al acestor routere, pe lista celor exploatate activ. Asta înseamnă că nu mai sunt doar teoretice: cineva le folosește deja în atacuri reale.

Vestea bună: repararea e o actualizare obișnuită, iar la cele mai multe routere configurate corect riscul e mic. Mai jos vezi ce s-a întâmplat, cine e expus și ce verifici.

Ce s-a întâmplat

Primele probleme au fost semnalate de CERT.pl, echipa națională de securitate cibernetică a Poloniei. Una dintre combinațiile de atac a primit numele „MikroTrick”. MikroTik a publicat anunțul și actualizările pe 3 septembrie. Pe scurt, cele trei vulnerabilități trecute de CISA pe listă, după descrierile oficiale:

• CVE-2026-86060 (adăugată pe 10 septembrie): la autentificarea prin SSH, un atacator își poate ridica drepturile până la administrator (NVD).
• CVE-2026-67277 (10 septembrie): fără autentificare, serviciul de test de viteză („btest”) poate scăpa date din memoria routerului și îl poate reporni (NVD).
• CVE-2026-67279 (25 septembrie): tot prin SSH, un atacator neautentificat poate deschide o sesiune și trimite comenzi routerului. CISA notează că, în combinație cu CVE-2026-86060, atacul merge fără nicio parolă (NVD). Nu apare în anunțul MikroTik din 3 septembrie, dar NVD o dă ca reparată în aceleași versiuni.

Nu știm public cine le exploatează și nici câte firme au fost atinse. Nu speculăm aici.

Cine e expus

MikroTik spune direct: „Most configurations are not at risk, but upgrading is highly recommended.” Adică cele mai multe configurații nu sunt în pericol, dar actualizarea e puternic recomandată.

Riscul real apare când SSH-ul routerului e deschis spre internet. Configurația din fabrică îl blochează, dar în multe firme cineva l-a deschis la un moment dat, „ca să putem intra de acasă” sau ca firma de IT să administreze routerul de la distanță. Dacă nimeni nu știe sigur, presupune că e deschis până afli contrariul.

Atenție și la routerul pe care nu-l vezi: uneori routerul MikroTik e al furnizorului de internet, nu al tău. Merită întrebat și el.

Ce faci, în ordine

1. Află dacă aveți MikroTik și cine îl administrează: firma de IT, un coleg sau furnizorul de internet.
2. Cere actualizarea. Versiunile care repară problema sunt, după MikroTik: 7.24.2 (stabilă), 7.23.4 sau 6.49.21 (suport pe termen lung), plus 7.25 beta 3. Actualizarea durează câteva minute și routerul repornește, așa că programeaz-o seara.
3. Închide SSH-ul spre internet. Recomandarea producătorului e ca accesul de la distanță să treacă printr-un VPN, de exemplu WireGuard, fără porturi de administrare deschise. Cum arată asta pas cu pas am scris în ghidul de securizare a routerului.
4. Verifică după actualizare. RouterOS verifică singur dacă routerul a fost compromis și îl marchează „Flagged” în jurnal (Log). Chiar dacă nu apare nimic, uită-te după scripturi, utilizatori sau reguli pe care nu le recunoști.

Mesajul pe care îl poți trimite azi firmei de IT, copiat ca atare:

„Avem routere MikroTik? Dacă da, le puteți actualiza săptămâna asta la 7.24.2 sau 7.23.4, confirmați că SSH-ul nu e accesibil din internet și ne spuneți dacă apare vreun «Flagged» în jurnal? Vă rog un răspuns scris, cu data și versiunea.”

Dacă firma ta e sub NIS2

Actualizarea nu mai e doar o chestiune de bun-simț. Printre măsurile minime cerute de lege se află, textual:

Text de lege, OUG 155/2024, art. 13 lit. e): „securitatea achiziției, dezvoltării, întreținerii și casării rețelelor și sistemelor informatice, inclusiv gestionarea și divulgarea vulnerabilităților”. (textul oficial)

Cum citim noi asta: nu ajunge să faci actualizarea, trebuie să o poți arăta. Răspunsul scris al firmei de IT, cu data și versiunea, e exact dovada de pus la dosar. Iar dacă routerul apare „Flagged”, discuția se schimbă: poate fi un incident de raportat, cu avertizare către DNSC în 24 de ore.

Nu știi dacă firma ta e sub NIS2? Articolul despre cine intră sub OUG 155/2024 te lămurește într-o seară. Iar dacă vrei ca actualizările și dovezile să nu mai stea prin e-mailuri, CERTO le ține în același loc cu restul măsurilor.