MikroTrick: el fallo que permite tomar routers MikroTik sin contraseña

Un router que acepta una conexión SSH de cualquiera no es una comodidad: es una puerta abierta. En septiembre de 2026, el equipo de respuesta a incidentes de Polonia, CERT Polska, reveló una cadena de fallos en MikroTik RouterOS que convierte un servicio SSH expuesto a internet en una toma de control total del dispositivo, sin necesidad de contraseña. La cadena, bautizada como MikroTrick, ya estaba siendo explotada en ataques reales, según confirmó la propia agencia. La noticia importa a México y América Latina porque miles de organizaciones en la región usan equipos MikroTik como routers de borde, y muchos de ellos mantienen el puerto de administración abierto a todo internet por comodidad operativa. Si tu red depende de un router de esta marca, lo que sigue es relevante ahora mismo.

Qué es exactamente MikroTrick

La cadena combina dos vulnerabilidades que, por separado, ya serían graves. Juntas, permiten saltarse por completo la autenticación y escalar hasta el nivel de administrador.

• CVE-2026-67276: una verificación de autenticación ausente en la implementación de SSH. Una petición especialmente construida puede saltarse el chequeo normal de credenciales.
• CVE-2026-86060: una neutralización incorrecta de delimitadores de argumentos. Un nombre de usuario malformado permite inyectar parámetros adicionales y escalar privilegios hasta administrador.

Ninguno de los dos fallos requiere credenciales previas. La única condición es que el servicio de administración SSH sea alcanzable desde internet. CERT Polska coordinó la divulgación de seis vulnerabilidades en RouterOS en total, de las cuales estas dos son las críticas.

Por qué un router de borde es un botín tan codiciado

Los routers de borde ocupan un lugar estratégico en cualquier red. Están siempre encendidos, enrutan el tráfico de todo lo que hay detrás de ellos y, con frecuencia, son el dispositivo que decide en qué tráfico confiar. Un atacante que controla uno obtiene varias cosas a la vez: visibilidad del tráfico, capacidad de redirigirlo, un punto de apoyo persistente y una posición privilegiada para moverse hacia dentro.

La consecuencia práctica es que un router comprometido no es un incidente de perímetro. Es un incidente interior que casualmente empieza en el perímetro. Por eso los equipos de seguridad insisten tanto en la administración segura de estos dispositivos: no son solo cajas que mueven paquetes, son la primera línea de confianza de la red.

Indicadores concretos que conviene revisar hoy

Este incidente produjo indicadores inusualmente concretos, algo poco común en divulgaciones de este tipo. Vale la pena aprovecharlos mientras están frescos. Entre los más útiles están:

• Conexiones SSH entrantes desde direcciones IP no reconocidas en los registros del router.
• Cambios inesperados en la configuración del dispositivo, especialmente en reglas de firewall o usuarios.
• La señal de estado que el propio fabricante marca tras una actualización, un indicador que suele pasarse por alto si nadie revisa el estado del equipo después de actualizar.

Esa última señal merece énfasis: es un aviso proporcionado por el proveedor, no una inferencia de terceros, y es justo el tipo de cosa que se escapa cuando nadie mira el estado del dispositivo tras una actualización de firmware.

La vulnerabilidad está en el software, pero la exposición es una decisión

El aviso de CERT Polska señala que los fallos se estaban usando para tomar el control de dispositivos cuyo servicio SSH era alcanzable desde internet. Esa frase importa. La vulnerabilidad vive en el software, pero la exposición es una decisión de configuración, casi siempre tomada por conveniencia operativa y rara vez revisada.

Los puertos de administración remota se abren para que alguien pueda resolver un problema a las 2 de la mañana sin manejar hasta una sede. Es una necesidad real. La pregunta es si ese puerto necesita ser alcanzable por todo internet o solo por las personas que administran el equipo. Para la mayoría de las organizaciones, la respuesta honesta es la segunda, y la diferencia entre ambas es una regla de firewall.

Qué pueden hacer las organizaciones en América Latina

La región tiene una adopción amplia de equipos MikroTik en proveedores de internet pequeños, redes comunitarias, hoteles y empresas. Eso hace que la exposición potencial sea significativa. Algunas medidas concretas:

1. Revisar de inmediato si el servicio SSH de los routers está expuesto a internet. Si lo está, cerrarlo salvo para direcciones IP administrativas conocidas.
2. Aplicar las actualizaciones que el fabricante publique para las vulnerabilidades divulgadas.
3. Revisar registros de conexiones SSH recientes en busca de accesos no reconocidos.
4. Verificar el estado del dispositivo después de cada actualización, prestando atención a las señales que el propio fabricante marque.
5. Establecer una política de administración fuera de banda o mediante VPN para el acceso remoto a equipos de red.

El contexto más amplio: la seguridad del borde como prioridad

MikroTrick no es un caso aislado. Refleja un patrón recurrente: dispositivos de red que se instalan, se configuran una vez y se olvidan durante años. La administración remota se abre por necesidad y se queda abierta por inercia. Mientras tanto, los atacantes escanean internet de forma constante en busca de servicios expuestos.

La lección es sencilla y aplica tanto a una empresa mediana como a un proveedor de internet comunitario: cada puerto abierto es una decisión que conviene revisar periódicamente. No se trata de cerrar todo, sino de saber qué está expuesto, por qué y quién debería poder alcanzarlo. En el caso de MikroTrick, esa revisión puede ser la diferencia entre un router que enruta tu tráfico y un router que trabaja para alguien más.