Da inizio settembre 2026 decine di migliaia di router MikroTik nel mondo sono sotto attacco attivo a causa di una catena di vulnerabilita critiche nel sistema operativo RouterOS, ribattezzata "MikroTrick" dai ricercatori che l'hanno individuata. Il difetto piu grave permette a un aggressore di autenticarsi via SSH senza conoscere alcuna password, ottenendo di fatto il controllo completo del dispositivo: una falla particolarmente insidiosa perche MikroTik e uno dei produttori di router piu diffusi al mondo tra provider internet, piccole e medie imprese e professionisti IT, anche in Italia.
La scoperta porta la firma di CERT Polska, il CSIRT nazionale polacco, che il 5 settembre 2026 ha pubblicato un'analisi tecnica dettagliata dopo aver osservato sfruttamento attivo gia dal 2 settembre. MikroTik ha rilasciato gli aggiornamenti correttivi il 3 settembre, ma a distanza di settimane restano ancora numerosi dispositivi esposti e non aggiornati in rete.
Come funziona l'attacco: la catena "MikroTrick"
Al centro della vicenda ci sono tre vulnerabilita critiche nel servizio SSH e in un componente diagnostico di RouterOS, individuate nell'ambito di un'indagine che ne ha in realta censite sei in totale (le altre riguardano il client SSH, la validazione dei certificati X.509 e l'interfaccia di amministrazione WebFig). Le piu gravi sono CVE-2026-67276 (punteggio CVSS 9,2), che nasce da una verifica incompleta delle chiavi pubbliche RSA nell'autenticazione SSH e permette di costruire una chiave alternativa capace di produrre una firma valida senza possedere la chiave privata originale, e CVE-2026-86060 (CVSS 9,2), che sfrutta un nome utente costruito ad arte per far assumere al processo di autenticazione privilegi amministrativi completi. Una terza falla, CVE-2026-67277 (CVSS 8,8), riguarda il servizio bandwidth-test e consente, senza autenticazione, di leggere memoria del kernel o di mandare in crash il dispositivo. Combinate, le prime due vulnerabilita permettono un accesso amministrativo totale a un router RouterOS raggiungibile via SSH, senza che l'aggressore debba conoscere credenziali valide.
Quanti dispositivi sono coinvolti
Secondo un rilevamento della Shadowserver Foundation risalente al 5 settembre 2026, erano circa 122.500 i dispositivi MikroTik con il servizio SSH esposto pubblicamente su Internet, quindi potenzialmente raggiungibili dall'attacco. Non esistono al momento dati ufficiali disaggregati per singolo paese relativi a questa specifica catena di vulnerabilita: un rapporto di Eclypsium del 2021, riferito pero a una falla diversa e piu datata, aveva collocato l'Italia tra i primi cinque paesi al mondo per numero di dispositivi MikroTik vulnerabili, su una base stimata di circa 300.000 device coinvolti a livello globale. Si tratta di un dato storico che va letto solo come indicazione della diffusione di questi apparati nel nostro paese, non come misura dell'esposizione attuale.
Come riconoscere una possibile compromissione
Chi gestisce router MikroTik puo verificare la presenza di segnali di compromissione controllando i log di sistema alla ricerca di voci come "login failure for user -2 from <ip> via ssh" seguite dalla creazione di un utente tramite "user <nome> added by ssh:-2@<ip>", oppure la presenza di un account amministrativo sospetto denominato "ops" con privilegi elevati non riconducibili a operazioni legittime. Dopo l'aggiornamento, RouterOS segnala nei log lo stato "Flagged" quando rileva modifiche di configurazione non autorizzate avvenute all'avvio, disabilitando automaticamente le voci sospette.
Patch disponibili e raccomandazioni per gli amministratori
MikroTik ha corretto le vulnerabilita nelle versioni RouterOS 7.25beta3, 7.24.2, 7.23.4 e 6.49.21, disponibili dal 3 settembre 2026. L'azienda e CERT Polska raccomandano di aggiornare immediatamente tutti i dispositivi, di evitare che i servizi SSH, WWW e bandwidth-test siano raggiungibili direttamente dalla WAN, limitando l'accesso amministrativo a indirizzi IP fidati o passando attraverso una VPN come WireGuard, e di verificare dopo l'aggiornamento la presenza di script, utenti, regole di scheduler, proxy o tunnel non riconosciuti. Per i dispositivi con segni di compromissione, la raccomandazione e isolare il router dalla rete, conservare log e configurazione per un'eventuale analisi forense, eseguire un ripristino alle impostazioni di fabbrica da una configurazione fidata e ruotare tutte le credenziali e le chiavi utilizzate.
La situazione in Italia
L'Agenzia per la Cybersicurezza Nazionale (ACN), tramite il CSIRT Italia, ha pubblicato un avviso dedicato a questa catena di vulnerabilita nei prodotti MikroTik. Non e la prima volta che l'agenzia interviene su questo produttore: nell'ottobre 2025 aveva gia segnalato una falla nel componente di amministrazione WebFig, mentre nel gennaio 2025 aveva pubblicato un avviso su dispositivi MikroTik compromessi e utilizzati per distribuire malware tramite tecniche di spoofing. Un pattern che conferma come i router di questo produttore restino un bersaglio ricorrente per chi cerca dispositivi di rete da trasformare in nodi di botnet o in punti di accesso a reti aziendali.
Perche riguarda aziende e professionisti IT
RouterOS equipaggia milioni di dispositivi in tutto il mondo, apprezzati da provider internet, integratori di sistema e piccole e medie imprese per il rapporto tra funzionalita avanzate e costo contenuto rispetto ad altri produttori enterprise. Proprio questa diffusione capillare, spesso in contesti privi di un reparto IT strutturato che segua con regolarita i bollettini di sicurezza, rende la vicenda rilevante: un router compromesso non e solo un problema di connettivita, ma puo diventare un punto di ingresso silenzioso nella rete interna di un'azienda o un nodo al servizio di infrastrutture malevole su scala globale.
Il commento di PINET
Per le piccole e medie imprese italiane che scelgono dispositivi MikroTik proprio per il loro rapporto costo-prestazioni, la vicenda MikroTrick e un promemoria concreto che l'hardware di rete economico non esonera dalla disciplina del patching, anzi la rende piu urgente laddove manca personale IT dedicato a monitorare gli avvisi di sicurezza. Il fatto che ACN abbia pubblicato un avviso specifico, dopo altri due interventi sullo stesso produttore nei mesi precedenti, mostra che il sistema di allerta nazionale funziona; la difficolta reale resta pero far arrivare l'informazione fino all'amministratore di rete di una piccola impresa o di un provider locale che non consulta i bollettini CSIRT su base quotidiana. Non ci sono al momento numeri ufficiali sui dispositivi italiani coinvolti in questa specifica catena di falle, quindi va evitato ogni allarmismo, ma la ricorrenza di avvisi su MikroTik negli ultimi due anni suggerisce che la pubblicazione di un CVE raramente si traduce da sola in patch tempestive, se non accompagnata da automazione degli aggiornamenti o da obblighi di gestione delle vulnerabilita piu stringenti, come quelli previsti dalla direttiva NIS2 per gli operatori di servizi essenziali.
Fonte: CERT Polska, MikroTik Security Advisory e BleepingComputer
