Агентство по кибербезопасности и защите инфраструктуры США (CISA) предупредило о критической уязвимости CVE-2026-84411 в MikroTik RouterOS. Проблема позволяет удаленно выполнить произвольный код с правами root без аутентификации или спровоцировать отказ в обслуживании (DoS). Причем для осуществления атаки понадобится всего один специально подготовленный HTTP-запрос.
Новая уязвимость получила 9,8 балла по шкале CVSS и связана с целочисленным антипереполнением (integer underflow) при обработке HTTP-запросов в веб-интерфейсе управления RouterOS. Так как ошибка возникает еще до аутентификации, для атаки злоумышленнику не понадобятся учетные данные.
В бюллетене безопасности CISA сообщается, что проблема затрагивает все версии RouterOS ниже 7.24, поэтому для ее устранения в ведомстве рекомендуют как можно скорее обновиться до версии 7.24 или новее.
Отметим, что с версиями прошивки возникла путаница: как пишет издание BleepingComputer, первоначально CISA рекомендовало пользователям установить RouterOS 7.23 или выше, одновременно утверждая, что уязвимы все версии ниже 7.24. В обновленном бюллетене эту опечатку исправили. Дело в том, что в настоящее время актуальной стабильной версией RouterOS является 7.24.4, а последняя версия ветки long-term — 7.23.7. Оба обновления вышли еще 16 сентября 2026 года. При этом RouterOS 7.23.7 формально попадает в указанный CISA диапазон уязвимых версий.
В CISA подчеркивают, что пока не располагают сведениями об эксплуатации новой уязвимости в реальных атаках. Однако владельцам роутеров рекомендуют ограничить доступ к интерфейсам управления из интернета, отделить управляющие сети и удаленные устройства от корпоративных сетей с помощью межсетевых экранов, а для удаленного доступа использовать актуальные VPN-решения.
Напомним, что в начале сентября специалисты CERT Polska сообщили о шести других уязвимостях в RouterOS, некоторые из которых уже находятся под атаками. Тогда две проблемы, CVE-2026-67279 и CVE-2026-86060, получили общее название MikroTrick, и сообщалось, что комбинация этих багов позволяет полностью захватить устройство, если его SSH доступен из интернета.
В настоящее время аналитики CERT Polska подготовили детальный технический отчет, посвященный обнаруженным атакам и багам. В документе эксперты отметили, что изначально с атакой MikroTrick ошибочно связывали уязвимость CVE-2026-67276, однако это самостоятельный SSH-баг, который позволяет выдать себя за пользователя с RSA-ключом, но для его эксплуатации нужно знать имя аккаунта и модуль его публичного ключа.
