Un router que acepta una conexión SSH de cualquiera no es una comodidad: es una puerta abierta. En septiembre de 2026, el CERT Polska reveló una cadena de vulnerabilidades en MikroTik RouterOS que convierte un servicio SSH expuesto a internet en una toma de control total del dispositivo sin necesidad de contraseña. La cadena, bautizada como MikroTrick, ya estaba siendo explotada en el mundo real, según confirmó el equipo de respuesta a incidentes de Polonia. Para México y América Latina, donde miles de organizaciones usan routers MikroTik como borde de red, la noticia es urgente: la exposición no es teórica, está activa.

La cadena MikroTrick combina dos fallas. La primera, CVE-2026-67276, es una falta de verificación de autenticación en la implementación de SSH: una solicitud manipulada puede saltarse la revisión normal de credenciales. La segunda, CVE-2026-86060, es una neutralización inadecuada de delimitadores de argumentos, que permite inyectar parámetros adicionales mediante un nombre de usuario malformado y escalar hasta nivel de administrador. Ninguna de las dos requiere credenciales previas. La única condición es que el servicio de administración SSH sea alcanzable desde internet.

CERT Polska coordinó la divulgación de seis vulnerabilidades en RouterOS en total, de las cuales estas dos son las críticas. La noticia no es solo un aviso técnico: es un recordatorio de que la seguridad de la red empieza por decisiones de configuración que a menudo se toman por comodidad operativa y rara vez se revisan.

¿Qué es exactamente la cadena MikroTrick?

MikroTrick no es una sola vulnerabilidad, sino una secuencia que aprovecha dos debilidades para lograr un objetivo: tomar el control del router sin autenticación. El primer eslabón, CVE-2026-67276, permite a un atacante eludir la verificación de credenciales en el servicio SSH. El segundo, CVE-2026-86060, aprovecha un fallo en el manejo de delimitadores de argumentos para inyectar parámetros adicionales a través de un nombre de usuario manipulado. El resultado es una escalada directa a administrador.

Lo relevante es que ninguno de los dos fallos requiere credenciales válidas. No se trata de un ataque de fuerza bruta ni de una contraseña débil: es una puerta trasera lógica que se abre con una petición crafted. Para explotarla, el atacante solo necesita que el puerto SSH del router sea accesible desde internet. Es decir, la vulnerabilidad está en el software, pero la exposición es una decisión de configuración.

Por qué los routers de borde son un objetivo tan valioso

Los routers de borde ocupan un punto estratégico en la red. Están siempre encendidos, enrutan todo el tráfico de lo que hay detrás y, con frecuencia, son el dispositivo que decide qué tráfico es confiable. Un atacante que controla uno obtiene varias ventajas a la vez:

• Persistencia: el router permanece encendido y conectado, lo que facilita mantener el acceso sin llamar la atención.
• Posición privilegiada: puede interceptar, redirigir o modificar el tráfico que pasa por él.
• Punto de salto: sirve como plataforma para atacar otros equipos dentro de la misma red.
• Evasividad: muchas organizaciones monitorean servidores y endpoints, pero no revisan el estado de sus routers después de una actualización.

La consecuencia práctica es que un router comprometido no es un incidente perimetral: es un incidente interior que casualmente empieza en el perímetro. Una vez dentro, el atacante puede moverse lateralmente, recolectar credenciales o preparar ataques más profundos.

Indicadores concretos: qué revisar ahora

Este incidente produjo indicadores inusualmente concretos, algo que vale la pena aprovechar mientras están frescos. CERT Polska publicó una lista de señales que las organizaciones pueden revisar en sus dispositivos MikroTik. Entre ellas destacan:

• Registros de conexiones SSH inusuales o desde direcciones IP no reconocidas.
• Cambios no autorizados en la configuración del router.
• Creación de usuarios o reglas de firewall no planificadas.
• El indicador marcado por el fabricante, que es una señal proporcionada por el propio proveedor y no una inferencia. Es fácil pasarlo por alto si nadie revisa el estado del dispositivo después de una actualización.

La recomendación es clara: si tienes routers MikroTik con SSH expuesto a internet, revisa de inmediato los registros y el estado del dispositivo. No esperes a que el fabricante publique un parche para actuar.

La exposición es una decisión de configuración

El aviso de CERT Polska señala que las fallas se estaban utilizando para tomar el control de dispositivos cuyo servicio SSH era alcanzable desde internet. Esa frase es clave. La vulnerabilidad está en el software, pero la exposición es una decisión de configuración, normalmente tomada por conveniencia operativa y rara vez revisada.

Los puertos de administración remota se abren para que alguien pueda resolver un problema a las 2 de la mañana sin tener que manejar hasta el sitio. Es una necesidad real. La pregunta es si el puerto necesita ser alcanzable por todo internet o solo por las personas que lo administran. Para la mayoría de las organizaciones, la respuesta honesta es la segunda, y la diferencia entre ambas es una regla de firewall.

En México y América Latina, donde la adopción de MikroTik es amplia en proveedores de internet, pequeñas empresas y redes comunitarias, esta distinción es especialmente relevante. Muchas veces el acceso remoto se configura una vez y se olvida. Hoy, esa comodidad puede ser la puerta de entrada a un incidente grave.

Recomendaciones inmediatas

Ante una vulnerabilidad que ya se explota activamente, la acción es más importante que el análisis. Estas son las medidas que puedes tomar ahora mismo:

1. Restringe el acceso SSH: limita las direcciones IP que pueden conectarse al puerto de administración. Si es posible, usa una VPN en lugar de exponer el servicio directamente.
2. Actualiza RouterOS: aplica los parches disponibles tan pronto como el fabricante los publique. Mientras tanto, reduce la superficie de exposición.
3. Revisa los registros: busca conexiones SSH inusuales, cambios de configuración y usuarios no reconocidos.
4. Monitorea el estado del dispositivo: no solo después de una actualización, sino de forma continua.
5. Segmenta la red: si un router es comprometido, la segmentación limita el movimiento lateral del atacante.

La cadena MikroTrick es un recordatorio de que la seguridad no termina en el software: empieza en la configuración. Un router que responde a un extraño no es una comodidad, es una puerta. Y en septiembre de 2026, esa puerta ya estaba siendo utilizada.