• El plazo de remediación del 13 de septiembre de CISA ha vencido para la vulnerabilidad de RouterOS explotada activamente CVE-2026-86060
  • Instalar la corrección detiene la vía de ataque observada, pero no establece si un router fue modificado antes de ser parcheado

El hecho

El plazo de remediación del 13 de septiembre de la Agencia de Seguridad de Infraestructuras y Ciberseguridad de EE. UU. (CISA) ha vencido para CVE-2026-86060, una vulnerabilidad de escalada de privilegios en MikroTik RouterOS añadida a su catálogo de vulnerabilidades explotadas conocidas el 10 de septiembre. El plazo se aplica a las agencias civiles federales cubiertas, no a todos los operadores de MikroTik.

CERT Polska señaló que los atacantes habían estado usando una cadena de vulnerabilidades de RouterOS contra dispositivos cuyo servicio de gestión SSH era accesible desde redes públicas. Confirmó que los parches publicados detienen los ataques que observó. MikroTik enumera las versiones corregidas 7.24.2, 7.23.4 y 6.49.21, y la versión 7.25 beta 3 también incluye la corrección.

Las versiones actualizadas de RouterOS pueden marcar ciertos indicios de cambios no autorizados como «Flagged», pero CERT Polska y MikroTik advierten que la ausencia de una marca no prueba que un dispositivo esté limpio. Se recomienda a los administradores inspeccionar las configuraciones después de actualizar.

La evaluación

Actualizar cambia lo que un atacante puede hacer a continuación; no reconstruye lo que ocurrió antes de la actualización. Eso importa para un router que estuvo expuesto antes de ser parcheado. El tráfico puede continuar con normalidad incluso si alguien ha añadido una cuenta, un script u otro cambio administrativo en segundo plano.

Por lo tanto, los operadores tienen más que comprobar que la versión de RouterOS. CERT Polska señala usuarios desconocidos, scripts, entradas del planificador, servidores proxy y túneles como elementos de configuración que conviene revisar. Cuando se sospecha un compromiso, recomienda preservar la evidencia, aislar el dispositivo y recuperar desde una configuración de confianza en lugar de restaurar automáticamente una copia de seguridad que ya pueda contener el cambio no deseado.

Para los lectores de BTW, el incidente se cierra de forma más convincente cuando el router está parcheado y devuelto a un estado revisado y de confianza. Que un dispositivo siga en línea demuestra continuidad; no establece quién controla todavía su configuración.

Qué vigilar

Observar si los operadores informan de revisiones de compromiso además de la finalización del parcheado, en particular para los routers que expusieron SSH a redes públicas. Nuevas orientaciones de MikroTik o CERT Polska podrían añadir indicadores de compromiso o pasos de recuperación a medida que se analizan más ataques. Reconstrucciones confirmadas desde configuraciones de confianza proporcionarían una evidencia de recuperación más sólida que el tiempo de actividad por sí solo.