Агентство CISA попередило про критичну вразливість CVE‑2026‑84411 у MikroTik RouterOS, яка дає змогу віддаленому зловмиснику виконати довільний код із правами root або спричинити відмову в обслуговуванні за допомогою одного спеціально сформованого HTTP‑запиту до веб‑інтерфейсу керування без будь‑якої автентифікації; вразливими є всі версії RouterOS нижче 7.24, тому адміністраторам мереж необхідно у найкоротші строки оновитися до 7.24 і новіших версій або жорстко обмежити доступ до веб‑інтерфейсу керування.
Технічні деталі вразливості CVE‑2026‑84411
Згідно з офіційним повідомленням CISA ICS‑бюлетень щодо CVE‑2026‑84411, вразливість отримала оцінку 9,8 за CVSS, що відповідає критичному рівню. Проблема пов’язана з помилкою цілочисельного антипереповнення (integer underflow) під час обробки HTTP‑запитів у веб‑інтерфейсі керування RouterOS.
Ключові особливості вектора атаки:
- експлуатація відбувається до автентифікації, тобто без логіна/пароля чи ключів;
- достатньо одного спеціально підготовленого HTTP‑запиту до веб‑інтерфейсу;
- успішна експлуатація дає зловмиснику можливість виконувати довільний код із правами root або призводить до відмови в обслуговуванні (DoS);
- вразливі усі версії RouterOS нижче 7.24.
Помилка виникає на етапі розбору вхідного HTTP‑трафіку в компоненті керування, до будь‑якого контролю доступу. Integer underflow у цьому контексті означає, що вхідні дані змушують лічильник або розмір буфера перейти в від’ємну область, що надалі інтерпретується як дуже велике додатне число. На практиці це часто призводить або до запису даних за межами допустимого діапазону, або до читання з «чужих» областей пам’яті.
Така комбінація — передаутентифікаційна обробка мережевого вводу плюс помилка роботи з пам’яттю — типова для вразливостей класу remote code execution. При цьому експлуатація зазвичай не потребує складної багатоступеневої логіки: достатньо доставити коректно сформований запит до веб‑інтерфейсу пристрою.
На момент публікації CISA окремо підкреслює, що даних про експлуатацію CVE‑2026‑84411 «у дикій природі» поки немає. Втім, з огляду на низьку складність експлуатації та високу критичність логічно очікувати швидкої появи робочих експлойтів після виходу достатньої кількості технічних деталей. Для відстеження формальної інформації щодо вразливості можна використовувати сторінку NVD: запис NVD для CVE‑2026‑84411.
Важливий нюанс — плутанина з версіями. Спочатку в advisory CISA пропонувалося оновитися до RouterOS 7.23 або вище при одночасному твердженні, що вразливими є всі версії нижче 7.24. Згодом описку виправили. Тепер зазначено, що проблема зачіпає всі версії нижче 7.24, а рекомендованою версією є 7.24 або новіша. При цьому в початковому матеріалі вказано:
- актуальна стабільна версія — 7.24.4;
- остання версія гілки long‑term — 7.23.7;
- обидві вийшли 16 вересня 2026 року;
- 7.23.7 формально потрапляє в діапазон версій «нижче 7.24», позначений CISA.
Це створює для власників довготривалої гілки додаткову зону невизначеності: з одного боку, версія свіжа, з іншого — за формулюванням CISA вона все ще вважається вразливою.
Контекст загроз: MikroTrick та інші баги в RouterOS
Нова вразливість CVE‑2026‑84411 не з’явилася у вакуумі. На початку вересня фахівці CERT Polska повідомили про шість інших вразливостей у RouterOS, частина з яких, за їхніми даними, уже використовується в атаках. Дві з них, CVE‑2026‑67279 і CVE‑2026‑86060, отримали загальну назву MikroTrick, причому комбінація цих двох багів дає змогу повністю захопити пристрій, якщо його SSH‑доступ відкритий з інтернету. Технічний розбір опубліковано в звіті CERT Polska: MikroTrick – technical analysis.
У тому ж звіті підкреслюється ще один SSH‑баг — CVE‑2026‑67276. Спочатку його помилково пов’язували з атакою MikroTrick, але CERT Polska показує, що це окрема проблема: вона дає змогу зловмиснику видати себе за користувача з RSA‑ключем за умови, що він знає ім’я облікового запису та модуль його публічного ключа. Тобто це не той «нульовий день», який можна без підготовки масово застосовувати до анонімних пристроїв, але за наявності контексту щодо конкретної цілі ризик високий.
Формально ці вразливості незалежні: MikroTrick зав’язаний на поєднанні CVE‑2026‑67279 і CVE‑2026‑86060, а CVE‑2026‑67276 — самостійний дефект SSH. Однак із погляду захисту інфраструктури вони складаються в загальну картину: поверхня атаки RouterOS одночасно розширюється як за рахунок веб‑інтерфейсу, так і за рахунок SSH‑підсистеми. Наявність критичної CVE‑2026‑84411 у веб‑частині лише підсилює мотивацію до комплексного перегляду практик керування пристроями MikroTik.
Для повноти формальної картини щодо пов’язаних вразливостей можна також відстежувати їх у NVD, наприклад запис NVD для CVE‑2026‑67279.
Оцінка впливу для організацій
Під підвищеним ризиком перебувають усі організації, де RouterOS використовується як прикордонний або віддалений мережевий пристрій, а веб‑інтерфейс керування доступний з недовірених мереж (тим більше з інтернету). У такій конфігурації CVE‑2026‑84411 перетворює будь‑який вразливий маршрутизатор на зручну точку входу.
Потенційні наслідки у разі успішної експлуатації можна умовно поділити на два рівні:
- Повне захоплення пристрою (віддалене виконання коду з правами root):
- переналаштування маршрутизації та списків контролю доступу, створення прихованих тунелів;
- підміна, перехоплення або дзеркалювання трафіку, що проходить через пристрій;
- використання маршрутизатора як плацдарму для атак на внутрішні мережі;
- прихована установка додаткових шкідливих компонентів.
- Відмова в обслуговуванні:
- обрив зв’язку з філіями та віддаленими майданчиками;
- простій критичних бізнес‑процесів, зав’язаних на доступ до зовнішніх ресурсів;
- ускладнення або повна неможливість віддаленого адміністрування саме в кризовий момент.
Особливо вразливі сценарії, де з міркувань зручності веб‑керування відкрите в інтернет «для адміністраторів у відрядженні». У поєднанні з передаутентифікаційним характером CVE‑2026‑84411 це перетворює такі пристрої на пріоритетні цілі: атака не потребує ані облікових даних, ані попередньої розвідки всередині мережі.
Окремий операційний ризик пов’язаний із гілкою long‑term. Версія 7.23.7 позиціонується як довгострокова і щойно оновлена, але за формулюванням CISA формально залишається в діапазоні вразливих. Для консервативних інфраструктур, де перехід між гілками займає місяці, це створює дилему між стабільністю та безпекою.
Практичні рекомендації зі зниження ризиків
1. Оновлення RouterOS і керування версіями
- Орієнтуйтеся на рекомендацію CISA й переводьте пристрої на версії RouterOS 7.24 і новіші, починаючи з найбільш критичних вузлів (прикордонні маршрутизатори, пристрої з прямим доступом з інтернету).
- Зважаючи на те, що 7.23.7 формально потрапляє в оголошений CISA діапазон вразливих версій нижче 7.24, власникам гілки long‑term доцільно щонайменше оцінити можливість пілотного переходу частини інфраструктури на 7.24.4 або подальші стабільні релізи.
- Перед масовим оновленням проведіть тестування на непроєкційних (непродуктивних) пристроях, але не розтягуйте процес: за CVSS 9,8 вікно до появи масових експлойтів зазвичай невелике.
2. Жорстке обмеження доступу до інтерфейсів керування
CISA прямо рекомендує мінімізувати експозицію керівних інтерфейсів RouterOS. Практично це означає:
- заборонити доступ до веб‑інтерфейсу керування безпосередньо з інтернету; за можливості повністю вимкнути веб‑керування на зовнішніх інтерфейсах;
- обмежити доступ до керування (HTTP/HTTPS, SSH, Winbox та інші протоколи адміністрування) лише з виділених адміністративних підмереж через міжмережеві екрани;
- відокремити керівні мережі та віддалені пристрої від корпоративних мереж за допомогою окремих сегментів і правил міжмережевого екрана, як це рекомендує CISA;
- для віддаленого адміністрування використовувати сучасні VPN‑рішення, надаючи доступ до інтерфейсів керування тільки після встановлення захищеного тунелю.
3. Пріоритезація реагування
Щоб не розпорошувати ресурси, варто вибудувати роботу щодо CVE‑2026‑84411 поетапно:
- Сформувати перелік усіх пристроїв MikroTik RouterOS, включно з філіями, віддаленими майданчиками, тестовими стендами.
- Виділити пристрої, у яких веб‑інтерфейс керування доступний з інтернету або інших недовірених зон.
- Для цієї групи:
- насамперед обмежити доступ (фільтрація трафіку, вимкнення веб‑керування на зовнішніх інтерфейсах);
- потім якнайшвидше виконати оновлення до версій 7.24 і вище.
- На другому етапі оновити решту пристроїв і привести їхні конфігурації керування до єдиних жорстких стандартів (відсутність прямого доступу з інтернету, сегментація, VPN).
4. Поєднання робіт щодо CVE‑2026‑84411 і MikroTrick
Якщо організація вже реагує на виявлені CERT Polska баги MikroTrick (CVE‑2026‑67279, CVE‑2026‑86060) і SSH‑вразливість CVE‑2026‑67276, раціонально об’єднати процеси:
- розглядати всі RouterOS‑пристрої як єдиний клас ризику з можливістю повного захоплення за вразливої конфігурації веб‑ та SSH‑доступу;
- одночасно посилити політику щодо SSH (мінімізація експонування, контроль облікових записів і ключів) і щодо веб‑керування;
- включити в критерії пріоритезації не лише версію прошивки, а й факт доступності веб‑ та SSH‑інтерфейсів з інтернету.
Головний практичний висновок: мінімізувати ймовірність експлуатації CVE‑2026‑84411 можна лише поєднанням двох кроків — терміновим закриттям веб‑інтерфейсу керування RouterOS від інтернету (через фільтрацію та сегментацію) і плановим, але не затягнутим оновленням усіх пристроїв до версій 7.24 і новіших, з особливою увагою до тих маршрутизаторів, які відіграють роль прикордонних вузлів і точок віддаленого доступу.
