MikroTik RouterOS sotto attacco e ScreenConnect senza patch: RMM e router nel mirino

🛡️ Executive Summary

• MikroTrick combina due vulnerabilità RouterOS e consente il controllo completo dei router con SSH esposto; CERT Polska conferma sfruttamento attivo.
• MikroTik corregge sei CVE nelle versioni 7.24.2, 7.23.4 e 6.49.21 e introduce un controllo locale per individuare configurazioni compromesse.
• ConnectWise segnala separatamente un bug ScreenConnect nel trasferimento file: non esiste ancora una patch e va disabilitato temporaneamente TransferFiles.

Due delle infrastrutture più sensibili per l’amministrazione remota affrontano contemporaneamente nuove vulnerabilità. MikroTik RouterOS è bersaglio di attacchi reali che sfruttano una catena battezzata MikroTrick per prendere il controllo completo dei router con SSH raggiungibile da Internet. ConnectWise ScreenConnect, invece, presenta un nuovo problema nel trasferimento dei file che interessa installazioni cloud e on-premise e per il quale il produttore non dispone ancora di una correzione definitiva. I casi non sono tecnicamente collegati, ma condividono lo stesso rischio operativo: compromettere un componente di gestione significa entrare in un punto dal quale l’attaccante può raggiungere una parte molto più ampia dell’infrastruttura.

MikroTrick prende il controllo del router senza conoscere la chiave privata

La catena più urgente è quella scoperta da CERT Polska, che ha identificato complessivamente sei vulnerabilità in MikroTik RouterOS. Due di queste possono essere concatenate contro dispositivi con il servizio SSH raggiungibile da reti pubbliche. La prima, CVE-2026-67276, riguarda la verifica delle chiavi pubbliche RSA: RouterOS confronta tipo di chiave e modulo, ma non verifica correttamente l’esponente. Un aggressore che conosca il modulo RSA autorizzato può quindi costruire una chiave differente con esponente manipolato, produrre una firma accettata dal sistema e aprire un canale SSH senza possedere la corrispondente chiave privata. La seconda falla, CVE-2026-86060, interviene successivamente sul percorso di login SSH: un username appositamente costruito altera la gestione degli argomenti passati al processo interno e permette di modificare la policy mask utilizzata da RouterOS, ottenendo privilegi amministrativi completi. È questa combinazione che CERT Polska ha denominato MikroTrick e che l’agenzia conferma essere già sfruttata contro router accessibili da Internet. Non si tratta quindi di un proof of concept teorico: i ricercatori dichiarano di avere osservato direttamente gli attacchi e verificato che le patch pubblicate da MikroTik bloccano la catena.

Sei vulnerabilità colpiscono SSH, WebFig, certificati e bandwidth-test

MikroTrick rappresenta la parte più pericolosa dell’incidente, ma il disclosure coordinato contiene altre quattro vulnerabilità. La scheda tecnica completa di CERT Polska elenca CVE-2026-67277, che interessa il servizio bandwidth-test e può permettere a un client non autenticato di ottenere frammenti di memoria kernel oppure provocare un riavvio del router; CVE-2026-67278, che riguarda la validazione di firme RSA/PKCS#1 v1.5 nei certificati X.509 e può essere utilizzata per impersonare server TLS; CVE-2026-67279, con cui una sessione SSH può raggiungere prematuramente il protocollo di connessione e creare o modificare file senza autenticazione; e CVE-2026-67281, una lettura arbitraria di file attraverso WebFig che può arrivare a esporre configurazioni contenenti credenziali. Il quadro è quindi più ampio di una singola debolezza SSH: RouterOS presenta problemi distribuiti tra autenticazione, servizi di management, gestione dei certificati e memoria kernel. È un tipo di rischio già visto quando router MikroTik compromessi erano stati integrati in botnet e infrastrutture offensive, ma in questo caso il vettore parte da vulnerabilità native appena corrette e già utilizzate in attacchi reali.

Leggi anche: Phishing RMM colpisce 46 Paesi e trasforma ScreenConnect, GoTo e LogMeIn in strumenti di accesso remoto

MikroTik corregge il bug e aggiunge un controllo per i router già compromessi

MikroTik ha pubblicato le correzioni il 3 settembre nelle release RouterOS 7.25 beta 3, 7.24.2, 7.23.4 e 6.49.21. Nell’avviso ufficiale di sicurezza il produttore evita temporaneamente di pubblicare dettagli approfonditi per lasciare agli amministratori il tempo di aggiornare, ma definisce l’update importante e raccomanda la distribuzione su tutti i dispositivi. La versione corretta effettua inoltre un controllo all’avvio alla ricerca di indicatori associati alla campagna osservata e può contrassegnare l’apparato come Flagged. Il log mostra in quel caso un evento critico e RouterOS tenta di disabilitare alcune modifiche malevole conosciute. Questo automatismo non deve però essere interpretato come una certificazione di integrità. CERT Polska sottolinea che l’assenza dello stato Flagged non garantisce che il router non sia stato compromesso. Gli amministratori devono quindi verificare manualmente nuovi utenti, script sconosciuti, modifiche alla configurazione e attività amministrative anomale. Tra gli IoC forniti compaiono eventi come login failure for user -2 via SSH, la creazione di account da una sessione identificata come ssh:-2@<ip> e la presenza di un account privilegiato chiamato ops. Gli indirizzi 82.192.72.4 e 103.102.31.18 sono stati inoltre associati rispettivamente a compromissioni riuscite e tentativi di sfruttamento.

Un router sospetto va ricostruito e non soltanto aggiornato

Il consiglio operativo cambia quando esistono indicatori di compromissione. Installare la patch elimina il vettore conosciuto, ma non cancella eventuali utenti, script, chiavi o configurazioni persistenti aggiunte dall’attaccante. CERT Polska raccomanda quindi di isolare il dispositivo, preservare log e configurazione per l’analisi e successivamente eseguire un factory reset, ricostruendo il router a partire da una configurazione affidabile. Password, chiavi SSH e altri segreti utilizzati sul dispositivo devono essere ruotati. Per gli apparati non ancora aggiornabili, la mitigazione principale consiste nel limitare o disabilitare l’accesso pubblico a SSH, WWW/WWW-SSL e bandwidth-test. Al 5 settembre Shadowserver censiva circa 122.500 dispositivi MikroTik con SSH esposto a Internet, anche se il numero non rappresenta automaticamente l’insieme degli apparati vulnerabili. È comunque una superficie sufficientemente ampia da rendere conveniente la scansione automatizzata da parte degli attaccanti.

ScreenConnect ha un nuovo bug ma la patch non esiste ancora

Nello stesso momento ConnectWise ha pubblicato un advisory differente per ScreenConnect Remote Access, piattaforma largamente utilizzata da MSP, help desk e reparti IT. Il problema riguarda il comportamento del trasferimento dei file nelle sessioni Support e Access e interessa sia il servizio cloud sia le installazioni on-premise. A differenza del caso MikroTik, il produttore non ha ancora assegnato una CVE e non ha pubblicato tutti i dettagli tecnici. La comunicazione ufficiale del 3 settembre indica esplicitamente lo stato “Fix in development; interim mitigation available now” e promette un identificatore CVE e una release corretta entro la settimana. Non risultano al momento dichiarazioni del vendor che confermino sfruttamento attivo di questa nuova vulnerabilità. È quindi scorretto sovrapporre i due incidenti: MikroTik è già sotto attacco; per il nuovo bug ScreenConnect è stata pubblicata una mitigazione preventiva mentre la patch è ancora in sviluppo.

La mitigazione ScreenConnect è disabilitare TransferFiles

ConnectWise raccomanda una misura immediata e piuttosto drastica: disabilitare il trasferimento dei file per i tecnici. Gli amministratori devono entrare in Administration > Security > Roles, verificare i gruppi di sessione associati a ciascun ruolo e rimuovere il permesso TransferFiles, oppure TransferFilesInSession nelle versioni legacy. La procedura va ripetuta per tutti i ruoli definiti nell’istanza e non richiede un aggiornamento software. La misura riduce naturalmente alcune funzionalità operative di supporto remoto, ma è l’unica mitigazione indicata dal produttore fino alla disponibilità della correzione. Il problema merita attenzione anche per la superficie esposta: Shadowserver censisce quasi 6.000 istanze ScreenConnect raggiungibili da Internet. Il numero non permette di sapere quante siano realmente vulnerabili, né quante siano honeypot, ma evidenzia perché una falla in questo prodotto abbia un valore particolarmente elevato per gli attaccanti.

La storia recente rafforza la necessità di non sottovalutare l’avviso. ScreenConnect è diventato sia un obiettivo diretto sia uno strumento riutilizzato dopo il primo accesso. In agosto la campagna SMOKE#SCREEN distribuiva copie legittime e firmate di ScreenConnect attraverso falsi aggiornamenti Adobe e Zoom, sfruttando le normali capacità del prodotto per desktop remoto, trasferimento dei file ed esecuzione di comandi. Ancora più recentemente Faronics Deploy è stato abusato per installare ScreenConnect dopo campagne di phishing. Il bug appena annunciato riguarda proprio una funzione — il file transfer — che nelle mani di un aggressore può rappresentare il ponte tra accesso remoto e distribuzione di ulteriori payload.

Continua con:

• Operation BlueDash usa falsi Teams e Zoom per installare ScreenConnect e più RMM

Router e console RMM concentrano troppo privilegio per tollerare finestre di patch lunghe

MikroTik e ScreenConnect mostrano due fasi differenti dello stesso problema operativo. Nel primo caso la vulnerabilità è nota, la patch esiste e gli attacchi sono già in corso: non aggiornare significa lasciare aperto un percorso di compromissione che CERT Polska ha verificato direttamente. Nel secondo caso il vendor ha individuato il problema ma la patch non è ancora disponibile: la difesa consiste quindi nel ridurre temporaneamente la funzionalità vulnerabile e prepararsi a distribuire la release corretta appena pubblicata. Entrambi i prodotti hanno però una caratteristica comune: sono nodi amministrativi ad alto privilegio. Il router decide come il traffico entra ed esce dalla rete; ScreenConnect può offrire accesso remoto ai sistemi gestiti. Per questo una vulnerabilità in queste piattaforme non va valutata soltanto attraverso il punteggio CVSS o il singolo servizio coinvolto. Il rischio reale è ciò che l’attaccante può fare dopo aver conquistato il punto di amministrazione: modificare la rete, installare persistenza, spostare file, raggiungere endpoint e trasformare uno strumento legittimo nella propria infrastruttura di controllo.