CISA har advart om at en kritisk sårbarhet i MikroTik RouterOS kan gjøre det mulig for eksterne angripere å kjøre kode med root-rettigheter uten å logge inn. Sårbarheten, CVE-2026-84411, kan også forårsake tjenestenekt gjennom én enkelt spesiallaget forespørsel.
Byrået sier imidlertid at det ikke kjenner til noen aktiv utnyttelse. Sikkerhetsvarselet inneholder også motstridende versjonsinformasjon, noe som skaper usikkerhet om hvilke versjoner som fullt ut løser problemet.
Svakhet i webadministrasjon krever ingen pålogging
Sårbarheten involverer et integer underflow i måten RouterOS» webbaserte administrasjonstjeneste behandler innholdet i HTTP-forespørsler på.
Fordi angripere kan nå den sårbare funksjonaliteten før autentisering, trenger de ikke gyldig påloggingsinformasjon for å forsøke å utnytte den. De trenger imidlertid nettverkstilgang til den berørte tjenesten.
Ifølge CISA kan én spesiallaget forespørsel utløse vilkårlig kjøring av kode med root-rettigheter. Alternativt kan en angriper bruke svakheten til å forstyrre driften av enheten.
Root-tilgang vil gi en angriper omfattende kontroll over det berørte systemet. Sårbarheten utgjør derfor en alvorlig risiko der sårbare administrasjonstjenester kan nås fra upålitelige nettverk.
Motstridende versjonsinformasjon etterlater ubesvarte spørsmål
CISA oppgir at RouterOS-versjoner eldre enn 7.24 er berørt. Det samme sikkerhetsvarselet sier imidlertid at MikroTik anbefaler å oppgradere til versjon 7.23 eller nyere for å redusere risikoen.
Disse opplysningene gjør statusen til 7.23-versjonsgrenen uklar. Sikkerhetsvarselet gir derfor ikke et entydig svar på hvilken minimumsversjon som kreves for å rette sårbarheten i MikroTik RouterOS.
På tidspunktet for rapporten 30. september var RouterOS 7.24.4 den nyeste stabile versjonen. Samtidig var 7.23.7 den nyeste langtidsversjonen. Begge ble tilgjengelige 16. september.
MikroTik hadde på dette tidspunktet ikke publisert et eget sikkerhetsvarsel, og den motstridende veiledningen var fortsatt ikke avklart.
CISA anbefaler å begrense nettverkstilgang
Sammen med advarselen beskrev CISA defensive tiltak for å redusere eksponeringen.
For det første bør organisasjoner holde kontrollsystemer utilgjengelige fra internett. De bør også plassere kontrollnettverk og eksterne enheter bak brannmurer og skille dem fra bedriftsnettverk.
For ekstern tilgang anbefaler CISA oppdaterte VPN-løsninger og passende beskyttelse for tilkoblede enheter.
Disse tiltakene kan begrense tilgangen til sårbare tjenester. Organisasjoner trenger imidlertid fortsatt tydelig versjonsinformasjon for å avgjøre om den installerte programvaren deres retter sårbarheten.
Tidligere ruterangrep involverte andre sårbarheter
Separat rapporterte Polens CERT nylig om angrep som involverte to andre RouterOS-sårbarheter: CVE-2026-67276 og CVE-2026-86060.
Angripere kombinerte disse svakhetene for å ta full kontroll over enheter med internetteksponerte SSH-tjenester.
Disse hendelsene viser fortsatt målretting mot MikroTik-utstyr. De dokumenterer imidlertid ikke utnyttelse av CVE-2026-84411, som CISA ikke hadde knyttet til kjente angrep da byrået utstedte advarselen.
0 responses to “Kritisk sårbarhet i MikroTik RouterOS kan gi angripere root-tilgang”