Un router que acepta una conexión SSH de cualquiera no es una comodidad. Es una puerta. En septiembre de 2026, el CERT Polska reveló una cadena de vulnerabilidades en MikroTik RouterOS que convierte un servicio SSH expuesto a internet en una toma de control total del dispositivo sin necesidad de contraseña, y confirmó que ya estaba siendo explotada en ataques reales.
La cadena, bautizada como MikroTrick, combina dos fallos críticos. El primero, CVE-2026-67276, es una ausencia de verificación de autenticación en la implementación de SSH: una petición manipulada puede saltarse la comprobación normal de credenciales. El segundo, CVE-2026-86060, es una neutralización incorrecta de delimitadores de argumentos, que permite inyectar parámetros adicionales a través de un nombre de usuario malformado y escalar privilegios hasta nivel de administrador. Ninguno de los dos requiere credenciales previas. La única condición es que el servicio de administración SSH sea accesible desde internet.
El CERT Polska coordinó la divulgación de seis vulnerabilidades en RouterOS en total, de las cuales estas dos son las críticas. La gravedad radica en la posición estratégica de los routers perimetrales: siempre encendidos, enrutando el tráfico de todo lo que está detrás de ellos y, con frecuencia, decidiendo qué tráfico es confiable. Un atacante que controla uno obtiene múltiples ventajas simultáneas.
¿Qué es MikroTrick y por qué es peligroso?
MikroTrick no es una vulnerabilidad aislada, sino una cadena de explotación que combina dos fallos para lograr un objetivo: el control absoluto del router. La primera falla, CVE-2026-67276, permite omitir la autenticación en el servicio SSH. La segunda, CVE-2026-86060, permite inyectar argumentos maliciosos a través del nombre de usuario para escalar privilegios. Juntas, otorgan a un atacante no autenticado acceso administrativo completo.
Lo que hace particularmente peligroso a este ataque es su simplicidad. No se necesita un exploit complejo ni interacción del usuario. Basta con que el puerto SSH esté abierto a internet. Y, según el CERT Polska, ya se ha observado su uso en el mundo real para tomar el control de dispositivos vulnerables.
El riesgo de los routers perimetrales comprometidos
Los routers de borde ocupan un lugar crítico en la red. Están siempre activos, enrutan el tráfico de todos los dispositivos internos y, a menudo, determinan qué tráfico se considera confiable. Cuando un atacante toma el control de uno, obtiene varios beneficios a la vez:
- Intercepción de tráfico: puede espiar, modificar o redirigir todo el tráfico que pasa por el router.
- Punto de anclaje persistente: el router se convierte en una base para lanzar ataques internos o mantener acceso a largo plazo.
- Manipulación de reglas de firewall: puede abrir puertos, crear túneles o desactivar protecciones.
- Movimiento lateral: desde el router, el atacante puede saltar a otros dispositivos de la red interna.
La consecuencia práctica es que un router comprometido no es un incidente perimetral. Es un incidente interno que comienza en el perímetro. La red entera queda expuesta.
Indicadores de compromiso y señales de alerta
Este incidente generó indicadores inusualmente concretos, que conviene utilizar mientras estén frescos. Entre ellos se incluyen:
- Registros de conexiones SSH no autorizadas: intentos de acceso desde direcciones IP sospechosas.
- Creación de usuarios administradores no reconocidos: cuentas nuevas con privilegios elevados.
- Modificaciones en la configuración del router: cambios en reglas de firewall, rutas estáticas o servicios habilitados.
- Señal del proveedor: MikroTik ha proporcionado una indicación específica que puede pasar desapercibida si no se revisa el estado del dispositivo después de una actualización.
El indicador del proveedor merece especial atención. Es una señal proporcionada por el fabricante, no una inferencia, y es fácil de pasar por alto si nadie revisa el estado del dispositivo después de una actualización. El aviso del CERT Polska señala que las fallas se utilizaron para tomar el control de dispositivos cuyo servicio SSH era accesible desde internet. Esa frase es clave: la vulnerabilidad está en el software, pero la exposición es una decisión de configuración, generalmente tomada por conveniencia operativa y rara vez revisada.
La exposición como decisión de configuración
Los puertos de administración remota se abren para que alguien pueda solucionar un problema a las 2 de la mañana sin tener que desplazarse al sitio. Es una necesidad real. La pregunta es si el puerto necesita ser accesible para todo internet o solo para las personas que lo administran. Para la mayoría de las organizaciones, la respuesta honesta es la segunda opción, y la diferencia entre ambas es una regla de firewall.
En América Latina, donde muchas empresas y proveedores de servicios de internet utilizan MikroTik por su relación costo-beneficio, el riesgo es significativo. La exposición de servicios SSH a internet es una práctica común, a menudo sin medidas adicionales como listas de control de acceso (ACL) o autenticación de dos factores. La adopción de RouterOS en la región es amplia, tanto en entornos empresariales como en redes comunitarias.
La recomendación inmediata es revisar si los routers MikroTik tienen el servicio SSH expuesto a internet. Si es así, se debe restringir el acceso solo a direcciones IP confiables, aplicar las actualizaciones de seguridad emitidas por el fabricante y monitorear posibles indicadores de compromiso. La comodidad operativa no debe estar por encima de la seguridad de la red.
Recomendaciones para mitigar el riesgo
Para protegerse contra MikroTrick y vulnerabilidades similares, se sugieren las siguientes acciones:
- Actualizar RouterOS: aplicar los parches de seguridad proporcionados por MikroTik para corregir CVE-2026-67276 y CVE-2026-86060.
- Restringir el acceso SSH: limitar las conexiones SSH a direcciones IP específicas mediante reglas de firewall.
- Deshabilitar servicios innecesarios: si no se utiliza SSH para administración remota, desactivarlo.
- Implementar autenticación robusta: usar claves SSH en lugar de contraseñas y habilitar autenticación de dos factores si es posible.
- Monitorear registros: revisar periódicamente los registros del router en busca de actividad sospechosa.
- Segmentar la red: aislar los routers de borde en VLAN de administración separadas.
La cadena MikroTrick es un recordatorio de que la seguridad no es solo cuestión de software actualizado, sino de configuración consciente. Un router expuesto es una puerta abierta; cerrarla depende de decisiones informadas.
