文章总结： MikroTikRouterOS存在严重漏洞CVE-2026-84411，CVSS评分9.8，未经身份验证的攻击者可通过单个精心构造的HTTP请求实现root权限远程代码执行或拒绝服务。漏洞位于Web管理服务HTTP请求正文处理中，影响7.24之前版本。建议用户立即更新至7.24.2或7.23.4版本，并在补丁前将Web管理界面与互联网隔离，仅允许受信任IP或VPN访问。 综合评分： 85 文章分类： 漏洞分析,应急响应,漏洞预警

MikroTik RouterOS 严重漏洞可导致未认证根 RCE

Do Sun Do Sun

代码卫士

2026年10月1日 00:00 北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

  聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

2026年9月29日，CISA发布了关于MikroTik RouterOS严重漏洞CVE-2026-84411（CVSS评分9.8）的公告ICSA-26-272-06。公告提到，单个精心构造的HTTP请求即可让未经身份验证的攻击者获得root代码执行权限。该漏洞评分为CVSS 9.8。

RouterOS 运行在遍布全球家庭、ISP 和企业网络中使用的 MikroTik 路由器上。CISA 将受影响行业列为通信和信息技术，并提醒称“成功利用该漏洞可导致攻击者实现远程代码执行或导致拒绝服务。”

而就在前不久，波兰 CERT报告称，自 9 月初以来，攻击者一直在利用被称为 “MikroTrick” 的另外两个RouterOS 漏洞。

漏洞概述

该漏洞位于 RouterOS Web 管理服务中，它的HTTP 请求正文处理包含一个在任何登录检查之前运行的整数下溢。CISA提到，攻击者可以用它“通过单个精心构造的请求，以 root 身份实现任意代码执行，或导致拒绝服务”。

CISA 提到 RouterOS 7.24 之前的版本为受影响版本，该漏洞由一位匿名研究人员报送。CISA 表示，“尚未收到专门针对该漏洞的已知公开利用报告。”另外尚未出现公开的 PoC。

补丁和缓解步骤

用户可从官方 MikroTik 下载页面更新 RouterOS。MikroTik 最新的修复版本是 7.24.2 和 7.23.4，它们也修复了 MikroTrick 漏洞。

在打补丁之前，用户应将 Web 管理界面与互联网隔离。仅允许受信任的IP范围或VPN访问。由于利用该 MikroTik RouterOS 漏洞不需要凭据，因此应优先修复被暴露的路由器。

代码卫士试用地址：https://sast.qianxin.com/

开源卫士试用地址：https://oss.qianxin.com/

推荐阅读

MikroTik 严重漏洞可用于暴露路由器管理员凭据

MikroTik RouterOS 存在严重的提权漏洞

Mikrotik 终于修复 Pwn2Own 大赛上的 RouterOS 漏洞

原文链接

Critical MikroTik RouterOS Flaw CVE-2026-84411 Allows Unauthenticated Root RCE

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 “赞”

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：代码卫士 Do Sun Do Sun《MikroTik RouterOS 严重漏洞可导致未认证根 RCE》