Kritisk sårbarhet i MikroTik RouterOS kan ge angripare root-åtkomst

CISA har varnat för att en kritisk sårbarhet i MikroTik RouterOS kan göra det möjligt för fjärrangripare att köra kod med root-behörigheter utan att logga in. Sårbarheten, CVE-2026-84411, kan också orsaka en överbelastningsattack genom en enda särskilt utformad förfrågan.

Myndigheten uppger dock att den inte känner till någon aktiv exploatering. Dess säkerhetsmeddelande innehåller också motstridiga uppgifter om versioner, vilket skapar osäkerhet kring vilka versioner som helt åtgärdar problemet.

Svaghet i webbhanteringen kräver ingen inloggning

Sårbarheten involverar ett integer underflow i hur RouterOS webbaserade hanteringstjänst behandlar HTTP-förfrågningars innehåll.

Eftersom angripare kan nå den sårbara funktionen före autentisering behöver de inga giltiga inloggningsuppgifter för att försöka utnyttja den. De behöver dock nätverksåtkomst till den berörda tjänsten.

Enligt CISA kan en särskilt utformad förfrågan utlösa godtycklig kodkörning med root-behörigheter. Alternativt kan en angripare använda svagheten för att störa enhetens funktion.

Root-åtkomst skulle ge en angripare omfattande kontroll över det berörda systemet. Därför innebär sårbarheten en allvarlig risk där sårbara hanteringstjänster kan nås från opålitliga nätverk.

Motstridiga versionsuppgifter lämnar frågor obesvarade

CISA listar RouterOS-versioner före 7.24 som berörda. Samma säkerhetsmeddelande uppger dock att MikroTik rekommenderar en uppgradering till version 7.23 eller senare för att minska risken.

Dessa uppgifter gör statusen för versionsgrenen 7.23 oklar. Därför ger säkerhetsmeddelandet inget konsekvent svar om vilken minimiversion som krävs för att åtgärda sårbarheten i MikroTik RouterOS.

Vid tidpunkten för rapporten den 30 september var RouterOS 7.24.4 den senaste stabila versionen. Samtidigt var 7.23.7 den senaste långtidsversionen. Båda blev tillgängliga den 16 september.

MikroTik hade vid den tidpunkten inte publicerat något separat säkerhetsmeddelande, och de motstridiga uppgifterna hade fortfarande inte retts ut.

CISA rekommenderar att nätverksåtkomsten begränsas

Tillsammans med sin varning beskrev CISA skyddsåtgärder för att minska exponeringen.

För det första bör organisationer hålla styrsystem oåtkomliga från internet. De bör också placera styrnätverk och fjärrenheter bakom brandväggar och separera dem från företagsnätverk.

För fjärråtkomst rekommenderar CISA uppdaterade VPN-lösningar och lämpligt skydd för anslutna enheter.

Dessa åtgärder kan begränsa åtkomsten till sårbara tjänster. Organisationer behöver dock fortfarande tydliga versionsuppgifter för att avgöra om deras installerade programvara åtgärdar sårbarheten.

Tidigare routerattacker involverade andra sårbarheter

Separat rapporterade Polens CERT nyligen attacker som involverade två andra RouterOS-sårbarheter: CVE-2026-67276 och CVE-2026-86060.

Angripare kombinerade dessa svagheter för att ta full kontroll över enheter med internetexponerade SSH-tjänster.

Dessa incidenter visar att MikroTik-utrustning fortsätter att vara måltavla för attacker. De bekräftar dock inte exploatering av CVE-2026-84411, som CISA inte hade kopplat till några kända attacker när myndigheten utfärdade sin varning.