Критична уязвимост в MikroTik RouterOS може да позволи на неавтентифицирани отдалечени атакуващи да изпълняват произволен код с права на ниво root или да предизвикат състояние на отказ от обслужване.

Уязвимостта, следена като CVE-2026-84411, засяга версии на MikroTik RouterOS преди 7.24 и има оценка за сериозност по CVSS v3 от 9.8. Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) публикува бюлетина за сигурност, идентифициран като ICSA-26-272-06, на 29 септември 2026 г.

Уязвимостта засяга мрежови устройства, внедрени в световен мащаб, включително системи, използвани в комуникационни среди и среди на информационните технологии.

CVE-2026-84411 е класифицирана като недостиг на цяло число (integer underflow), известен също като проблем с превъртане на цяло число (integer wraparound). Този тип слабост възниква, когато софтуерът извършва изчисление, което произвежда стойност под минималния лимит, поддържан от съответния тип данни.

Вместо безопасно да отхвърли невалидната стойност, приложението може да я превърти в неочаквано голямо число. В мрежов продукт като RouterOS атакуващ може да изпрати специално формулирани заявки, проектирани да задействат уязвимия жизнен път на кода.

Критична уязвимост в MikroTik RouterOS

Успешното експлоатиране би могло да позволи отдалечено изпълнение на код, потенциално давайки на атакуващия контрол на ниво root върху засегнатия рутер. Root достъпът би осигурил широк контрол върху настройките на устройството, обработката на трафика, конфигурациите за маршрутизация, услугите за автентификация, правилата на защитната стена и инсталираните скриптове.

Компрометирането на RouterOS устройство, изложено на интернет, може да създаде сериозни последващи рискове. Атакуващите биха могли да използват компрометиран рутер за прихващане или пренасочване на мрежовия трафик, внедряване на зловреден код, промяна на DNS настройките, установяване на персистентен достъп, сканиране на вътрешни системи или използване на устройството като входна точка в по-широка корпоративна среда.

В промишлени среди въздействието може да бъде по-сериозно, където рутерите осигуряват свързаност към отдалечени площадки, мрежи за операционни технологии (OT) или активи на системи за контрол.

CISA предупреди, че експлоатацията може също така да причини състояние на отказ от обслужване. Това би могло да наруши услугите за маршрутизация и да направи отдалечените устройства или свързаните бизнес системи недостъпни.

Организациите, разчитащи на устройства MikroTik за свързаност на офиси, отдалечено администриране, маршрутизация в периметъра на интернет или индустриални комуникации, трябва незабавно да оценят експозицията си.

Основната мярка за ограничаване на риска е да се актуализират засегнатите инсталации на MikroTik RouterOS до версия 7.24 или по-нова. Организациите трябва да идентифицират всички устройства MikroTik в своята среда, включително системи, управлявани от регионални офиси, доставчици на трети страни и отдалечени оперативни площадки.

Инвентаризацията на активите трябва също да отчита рутери, които не се управляват централно или са внедрени в наследени мрежови сегменти. Администраторите трябва да ограничат интерфейсите за управление, така че да не са директно достъпни от публичния интернет.

CISA препоръчва да се минимизира мрежовата експозиция на устройствата за системи за контрол, да се поставят отдалечените активи зад защитни стени и да се отделят мрежите за операционни технологии от бизнес системите.

Когато се изисква отдалечен достъп, организациите трябва да използват сигурни, напълно актуализирани VPN услуги и да защитават VPN достъпа със здрава автентификация и контроли за сигурност на устройствата.

Мрежовите екипи трябва да прегледат логовете на RouterOS за неочаквана административна активност, промени в конфигурацията, необичаен изходящ трафик, нови скриптове, променени DNS настройки и неизвестни потребителски акаунти. Те също така трябва да подменят компрометираните идентификационни данни след инсталиране на корекциите за сигурност и да потвърдят конфигурациите на защитната стена и контрола на достъпа.

От CISA заявиха, че не са получавали доклади за публична експлоатация, конкретно насочена към CVE-2026-84411. Въпреки това комбинацията от неавтентифициран достъп, потенциално изпълнение на код на ниво root и широкото внедряване на RouterOS прави бързото отстраняване на уязвимостта от съществено значение.