MikroTik RouterOS 严重漏洞可导致未认证根 RCE
Do Sun
Do Sun
代码卫士
2026年10月1日 00:00
北京
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
2026年9月29日，CISA发布了关于MikroTik RouterOS严重漏洞CVE-2026-84411（CVSS评分9.8）的公告ICSA-26-272-06。公告提到，单个精心构造的HTTP请求即可让未经身份验证的攻击者获得root代码执行权限。该漏洞评分为CVSS 9.8。
RouterOS 运行在遍布全球家庭、ISP 和企业网络中使用的 MikroTik 路由器上。CISA 将受影响行业列为通信和信息技术，并提醒称“成功利用该漏洞可导致攻击者实现远程代码执行或导致拒绝服务。”
而就在前不久，波兰 CERT报告称，自 9 月初以来，攻击者一直在利用被称为 “MikroTrick” 的另外两个RouterOS 漏洞。
漏洞概述
该漏洞位于 RouterOS Web 管理服务中，它的HTTP 请求正文处理包含一个在任何登录检查之前运行的整数下溢。CISA提到，攻击者可以用它“通过单个精心构造的请求，以 root 身份实现任意代码执行，或导致拒绝服务”。
CISA 提到 RouterOS 7.24 之前的版本为受影响版本，该漏洞由一位匿名研究人员报送。CISA 表示，“尚未收到专门针对该漏洞的已知公开利用报告。”另外尚未出现公开的 PoC。
补丁和缓解步骤
用户可从官方 MikroTik 下载页面更新 RouterOS。MikroTik 最新的修复版本是 7.24.2 和 7.23.4，它们也修复了 MikroTrick 漏洞。
在打补丁之前，用户应将 Web 管理界面与互联网隔离。仅允许受信任的IP范围或VPN访问。由于利用该 MikroTik RouterOS 漏洞不需要凭据，因此应优先修复被暴露的路由器。
代码卫士试用地址：https://sast.qianxin.com/
开源卫士试用地址：https://oss.qianxin.com/
推荐阅读
Mikrotik 终于修复 Pwn2Own 大赛上的 RouterOS 漏洞
原文链接
https://securityonline.info/mikrotik-routeros-cve-2026-84411/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 \"赞”
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论