CISA warns of critical pre-auth RCE flaw in MikroTik RouterOS
BleepingComputer · 30 sept, 17:49
CISA advierte sobre una vulnerabilidad crítica de ejecución remota de código previa a autenticación (CVE-2026-84411) en MikroTik RouterOS que permite a atacantes no autenticados lograr RCE con privilegios root o provocar denegación de servicio con una única solicitud HTTP manipulada. Las versiones anteriores a 7.24 están afectadas, y aunque no hay evidencia de explotación activa, MikroTik recomienda actualizar a 7.23 o posterior para mitigar el riesgo.
El fallo reside en un desbordamiento de enteros (integer underflow) en el manejo de cuerpos de solicitudes HTTP del servicio web de gestión, accesible antes de la autenticación. Un atacante en la red puede enviar una solicitud crafted para ejecutar código arbitrario con privilegios root o causar una denegación de servicio.
MikroTik RouterOS versiones inferiores a 7.24 están afectadas. La versión estable más reciente es 7.24.4 y la liberación de largo plazo más reciente es 7.23.7, ambas disponibles desde el 16 de septiembre. Aunque CISA no tiene conocimiento de explotación activa, existe un precedente reciente: la agencia CERT de Polonia advirtió que atacantes utilizaron una cadena de exploits combinando CVE-2026-67276 y CVE-2026-86060 para tomar control total de dispositivos MikroTik con SSH expuesto a Internet.
Puntos clave
- CVE-2026-84411 es un desbordamiento de enteros en HTTP request body handling
- Afecta a MikroTik RouterOS versiones anteriores a 7.24
- Pre-autenticación: no requiere credenciales para explotar
- RCE con privilegios root o DoS desde una única solicitud
- Actualizar a versión 7.23 o posterior; aislar gestión de Internet