MikroTik RouterOS sotto attacco: la falla colpisce SSH prima del login

Due vulnerabilità che interessano Microsoft SharePoint Server e MikroTik RouterOS sono entrate nel catalogo Known Exploited Vulnerabilities di CISA dopo l’emersione di attività ostili concrete.

I due casi hanno caratteristiche tecniche differenti, ma condividono un elemento rilevante per chi gestisce infrastrutture esposte: il rischio non deriva soltanto dalla presenza del difetto, ma dalla possibilità che un errore circoscritto venga collegato ad altri meccanismi del software. Nel caso SharePoint, CVE-2026-65660 consente a un attaccante autorizzato di arrivare all’esecuzione di codice. RouterOS presenta invece una catena che combina CVE-2026-67279 e CVE-2026-86060, trasformando una gestione errata dello stato SSH in un accesso amministrativo non autenticato.

SharePoint trasforma l’iniezione in esecuzione di codice

La vulnerabilità Microsoft nasce dalla gestione dei controlli server-side attraverso la lista SafeControls. Un input appositamente costruito può alterare una direttiva Register durante l’elaborazione del componente ToolPane, consentendo di introdurre classi .NET che non avrebbero dovuto superare la validazione.

La ricerca tecnica ha collegato il difetto all’uso di XamlServices.Parse(), meccanismo che può provocare esecuzione di codice durante la deserializzazione. La classificazione tecnica come CWE-94 descrive quindi una condizione di code injection, non un semplice problema di presentazione dei contenuti. Microsoft ha inoltre aggiornato la descrizione della falla dopo aver inizialmente indicato un problema di spoofing, riconoscendo la possibilità di remote code execution.

L’aspetto più significativo riguarda la distanza tra la descrizione iniziale e l’impatto successivamente documentato. Microsoft ha dichiarato di disporre di prove affidabili di attacchi osservati; Previdian ha inoltre registrato 16 tentativi contro i propri sensori il 24 settembre, provenienti da indirizzi IP localizzati nel Regno Unito e in Israele. Il dato non consente di stabilire quante organizzazioni siano state colpite né quanti sistemi siano stati compromessi. Per gli amministratori, la distinzione è essenziale: la presenza di traffico ostile dimostra lo sfruttamento della superficie vulnerabile, ma non equivale automaticamente alla compromissione dell’istanza SharePoint.

La catena MikroTrick supera l’autenticazione SSH

RouterOS presenta una dinamica più articolata. CVE-2026-67279 riguarda una transizione errata nella macchina a stati SSH durante un rekey: dopo il rinnovo delle chiavi, il server poteva passare alla gestione dei canali senza riprendere correttamente l’autenticazione interrotta. Un client privo di credenziali riusciva così ad aprire un canale sessione e a inviare richieste che avrebbero dovuto essere disponibili soltanto dopo l’autenticazione. Il difetto, preso singolarmente, non assegnava privilegi amministrativi; creava però il presupposto necessario per sfruttare CVE-2026-86060.

La seconda falla coinvolge /nova/bin/login, il programma che RouterOS utilizza per creare la console. Il nome utente proveniente da SSH veniva passato agli argomenti del processo senza una validazione sufficiente; un valore che iniziava con un trattino poteva quindi essere interpretato come un’opzione. CERT Polska ha ricostruito l’uso del valore “-2”, associato a un file descriptor del terminale, attraverso il quale l’attaccante poteva fornire dati interpretati come identità e maschera dei privilegi. La combinazione produceva una console amministrativa senza password, chiave SSH o autenticazione completata.

La risposta richiede quindi una verifica che vada oltre il semplice aggiornamento. MikroTik indica come corrette le release 7.25 beta 3, 7.24.2, 7.23.4 e 6.49.21 e raccomanda di non esporre SSH a reti non affidabili. Il sistema può inoltre impostare lo stato “Flagged” quando individua segnali compatibili con una compromissione, ma il produttore invita a controllare comunque utenti, script e configurazioni sconosciute.

La lezione tecnica più ampia riguarda la verifica delle assunzioni tra componenti privilegiati. Un controllo di autenticazione può risultare corretto nel singolo modulo e diventare inefficace quando un componente successivo considera attendibili dati provenienti da una fase che l’attaccante ha già alterato. Per chi conduce attività di sicurezza, questa classe di difetti rende particolarmente importante testare le transizioni tra stati, non soltanto i singoli percorsi previsti dal protocollo.