PoC public : chaîne d'exploitation MikroTrick sur RouterOS (CVE-2026-86060)

🔍 Contexte

Publié le 23 septembre 2026 sur GitHub (digiprosec/MicroTrick), cet article présente un exploit de preuve de concept (PoC) nommé MikroTrick, ciblant les équipements MikroTik RouterOS exposés sur Internet. La campagne d’exploitation dans la nature a débuté au moins le 2026-09-02, et CERT Polska a publié sa divulgation le 2026-09-05.

🧩 Chaîne d’exploitation

L’attaque enchaîne trois vulnérabilités :

• CVE-2026-86060 (CVSS 9.2) — Élévation de privilèges : le helper SSH interprète un nom d’utilisateur commençant par un tiret comme un descripteur de fichier, permettant l’injection d’une identité et d’un masque de politique arbitraires.
• CVE-2026-67279 (CVSS 6.9) — Contournement d’authentification : un rekey SSH demandé par le client avant la fin de l’authentification supprime la vérification d’authentification côté serveur.
• CVE-2026-67277 (CVSS 8.8) — Non utilisé par ce PoC, mais pertinent pour l’empreinte et l’évaluation d’exposition (divulgation mémoire pré-auth via le service btest).

Un bug d’état supplémentaire non nommé est également requis : un login rejeté laisse le nom d’utilisateur en attente dans l’état de session.

⚙️ Mécanisme d’attaque

1. Tentative d’authentification avec le nom d’utilisateur -2 → rejet mais username laissé en attente.
2. Rekey pré-authentification (CVE-2026-67279) → suppression de la vérification d’authentification.
3. Ouverture d’un canal de session + PTY sans authentification → spawn du login helper avec -2.
4. Injection d’un masque de politique all-ones (CVE-2026-86060) → session ouverte en administrateur complet.

L’exploit plante un compte hacker/hacker avec tous les privilèges. Les actions sont journalisées sous ssh:-2@<ip>.

🎯 Versions affectées et correctifs

• Vulnérables : RouterOS [7.24, 7.24.2), [7.0.0, 7.23.4), [6.0.0, 6.49.21)
• Corrigées : 7.25beta3, 7.24.2, 7.23.4, 6.49.21 (patches MikroTik du 2026-09-03)
• CVE-2026-86060 et CVE-2026-67277 ajoutés au catalogue CISA KEV le 2026-09-10

🚨 Indicateurs de compromission

• Log : login failure for user -2 via ssh
• Log : user <name> added by ssh:-2@<ip>
• Présence d’un compte hautement privilégié inconnu
• Marqueur “Flagged” dans ops/system/device-mode/print

📄 Nature de l’article

Il s’agit d’une analyse technique accompagnée d’un PoC public, visant à documenter précisément la chaîne d’exploitation MikroTrick pour permettre la détection, l’évaluation d’exposition et les tests en environnement autorisé.

🧠 TTPs et IOCs détectés

TTP

• T1190 — Exploit Public-Facing Application (Initial Access)
• T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
• T1556 — Modify Authentication Process (Credential Access)
• T1136 — Create Account (Persistence)
• T1021.004 — Remote Services: SSH (Lateral Movement)

IOC

• CVEs : CVE-2026-86060 — NVD · CIRCL
• CVEs : CVE-2026-67279 — NVD · CIRCL
• CVEs : CVE-2026-67277 — NVD · CIRCL
• Fichiers : poc_mikrotick.py

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 27 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• MikroTrick PoC (poc_mikrotrick.py) (tool)

🟡 Indice de vérification factuelle : 45/100 (moyenne)

• ⬜ github.com — source non référencée (0pts)
• ✅ 3493 chars — texte complet (fulltext extrait) (15pts)
• ✅ 4 IOCs (IPs/domaines/CVEs) (10pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 5 TTPs MITRE identifiées (15pts)
• ⬜ date RSS ou approximée (0pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ✅ 3/3 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://github.com/digiprosec/MicroTrick