Udhaifu sita umetambuliwa katika mfumo endeshi wa RouterOS unaotumika katika ruta za MikroTik. Mchanganyiko wa udhaifu huu mbili huruhusu washambuliaji wa mbali kupata udhibiti kamili wa kifaa chenye haki za msimamizi, mradi tu kinapatikana kupitia SSH. Matumizi mabaya ya udhaifu huu yameandikwa. Viraka vya Mikrotik vimepatikana tangu Septemba 3 (RouterOS 7.25 beta 3, 7.24.2, 7.23.4, 6.49.21), na washambuliaji huenda walitambua udhaifu huo kwa kutumia viraka hivi.
Udhaifu CVE-2026-67276 na CVE-2026-86060 zimepewa kiwango muhimu cha ukali (9.2 kati ya 10). Tatizo la kwanza linasababishwa na uthibitishaji usiofaa wa funguo za umma za RSA zinazotumika kwa uthibitishaji wa SSH. Kwa kujua jina la mtumiaji na vigezo vya funguo za umma, mshambuliaji anaweza kutoa funguo bandia na kuungana kupitia SSH bila ufikiaji wa funguo ya faragha. Tatizo la pili linahusiana na ukosefu wa kuchuja herufi batili mwanzoni mwa jina la mtumiaji wakati wa kuchakata kuingia kwa SSH.
Utumiaji mzuri wa udhaifu unaweza kufuatiliwa kwa kuingiza kwenye kumbukumbu ya RouterOS: hitilafu ya kuingia kwa mtumiaji -2 kutoka kupitia mtumiaji wa ssh imeongezwa na ssh:-2@
Chanzo: opennet.ru
