Kritisk sårbarhed i MikroTik RouterOS kan give angribere root-adgang

CISA har advaret om, at en kritisk sårbarhed i MikroTik RouterOS kan gøre det muligt for fjernangribere at køre kode med root-rettigheder uden at logge ind. Sårbarheden, CVE-2026-84411, kan også forårsage et denial-of-service-angreb gennem en enkelt særligt udformet anmodning.

Agenturet siger dog, at det ikke har kendskab til aktiv udnyttelse. Dets sikkerhedsmeddelelse indeholder også modstridende versionsoplysninger, hvilket skaber usikkerhed om, hvilke versioner der fuldt ud løser problemet.

Svaghed i webadministration kræver intet login

Sårbarheden involverer et integer underflow i den måde, RouterOS’ webbaserede administrationstjeneste behandler indholdet i HTTP-anmodninger på.

Fordi angribere kan nå den sårbare funktionalitet før godkendelse, behøver de ikke gyldige loginoplysninger for at forsøge at udnytte den. De skal dog have netværksadgang til den berørte tjeneste.

Ifølge CISA kan en enkelt særligt udformet anmodning udløse vilkårlig kodekørsel med root-rettigheder. Alternativt kan en angriber bruge svagheden til at forstyrre enhedens drift.

Root-adgang vil give en angriber omfattende kontrol over det berørte system. Derfor udgør sårbarheden en alvorlig risiko, hvor sårbare administrationstjenester kan nås fra upålidelige netværk.

Modstridende versionsvejledning efterlader ubesvarede spørgsmål

CISA angiver RouterOS-versioner ældre end 7.24 som berørte. Den samme sikkerhedsmeddelelse siger dog, at MikroTik anbefaler at opgradere til version 7.23 eller nyere for at reducere risikoen.

Disse oplysninger efterlader status for 7.23-versionsgrenen uklar. Derfor giver sikkerhedsmeddelelsen ikke et entydigt svar på, hvilken minimumsversion der er nødvendig for at rette sårbarheden i MikroTik RouterOS.

På tidspunktet for rapporten den 30. september var RouterOS 7.24.4 den seneste stabile version. Samtidig var 7.23.7 den seneste langtidsversion. Begge blev tilgængelige den 16. september.

MikroTik havde på det tidspunkt ikke offentliggjort en separat sikkerhedsmeddelelse, og den modstridende vejledning var fortsat uafklaret.

CISA anbefaler at begrænse netværksadgang

Sammen med sin advarsel beskrev CISA defensive foranstaltninger til at reducere eksponeringen.

For det første bør organisationer holde kontrolsystemer utilgængelige fra internettet. De bør også placere kontrolnetværk og fjernenheder bag firewalls og adskille dem fra virksomhedsnetværk.

Til fjernadgang anbefaler CISA opdaterede VPN-løsninger og passende beskyttelse af tilsluttede enheder.

Disse foranstaltninger kan begrænse adgangen til sårbare tjenester. Organisationer har dog stadig brug for tydelig versionsvejledning for at afgøre, om deres installerede software retter sårbarheden.

Tidligere routerangreb involverede andre sårbarheder

Separat rapporterede Polens CERT for nylig om angreb, der involverede to andre RouterOS-sårbarheder: CVE-2026-67276 og CVE-2026-86060.

Angribere kombinerede disse svagheder for at få fuld kontrol over enheder med interneteksponerede SSH-tjenester.

Disse hændelser viser fortsat målretning mod MikroTik-udstyr. De dokumenterer dog ikke udnyttelse af CVE-2026-84411, som CISA ikke havde knyttet til kendte angreb, da agenturet udsendte sin advarsel.