1. Een kwetsbaarheid in MikroTik RouterOS, getraceerd als CVE-2026-84411, treft versies vóór 7.24. Deze kwetsbaarheid, geclassificeerd als een integer underflow, kan niet-geauthenticeerde externe aanvallers in staat stellen willekeurige code uit te voeren met root-privileges of een denial-of-service te veroorzaken. De kwetsbaarheid heeft een CVSS v3-ernstscore van 9.8.
2. Een aanvaller kan speciaal opgestelde verzoeken sturen om de kwetsbare code te activeren.
3. Succesvolle uitbuiting kan leiden tot externe code-uitvoering, wat aanvallers root-toegang geeft tot de getroffen router. Root-toegang geeft brede controle over apparaatinstellingen, verkeersafhandeling, routeringsconfiguraties, authenticatiediensten, firewallregels en geïnstalleerde scripts.
4. Het compromitteren van een aan het internet blootgestelde RouterOS-apparaat kan ernstige gevolgen hebben, zoals het onderscheppen of omleiden van netwerkverkeer, het implementeren van malware, het wijzigen van DNS-instellingen, het tot stand brengen van permanente toegang, het scannen van interne systemen of het gebruiken van het apparaat als toegangspunt tot een grotere bedrijfsomgeving.
5. In industriële omgevingen kan de impact ernstiger zijn, waar routers connectiviteit bieden aan externe locaties, operationele technologie-netwerken of controlesysteemactiva.
6. Uitbuiting kan ook een denial-of-service-conditie veroorzaken, wat routeringsdiensten kan verstoren en externe apparaten of verbonden bedrijfssystemen onbeschikbaar kan maken.
7. De kwetsbaarheid treft wereldwijd ingezette netwerkapparaten, waaronder systemen die worden gebruikt in communicatie- en informatietechnologieomgevingen. Organisaties die afhankelijk zijn van MikroTik-apparaten voor connectiviteit van filialen, externe beheer, internetrandroutering of industriële communicatie, dienen onmiddellijk hun blootstelling te beoordelen.
8. Op 29 september 2026 heeft het U.S. Cybersecurity and Infrastructure Security Agency (CISA) een advies gepubliceerd, aangeduid als ICSA-26-272-06, over deze kwetsbaarheid. CISA heeft geen meldingen ontvangen van publieke uitbuiting die specifiek gericht is op CVE-2026-84411.
9. De primaire mitigatie is het upgraden van getroffen MikroTik RouterOS-installaties naar versie 7.24 of later.
10. Organisaties moeten alle MikroTik-apparaten in hun omgeving identificeren, inclusief systemen beheerd door regionale kantoren, externe providers en externe operationele locaties. Activa-inventarissen moeten ook routers omvatten die niet centraal worden beheerd of die worden ingezet in legacy netwerksegmenten.
11. Beheerders moeten managementinterfaces beperken zodat deze niet direct bereikbaar zijn vanaf het openbare internet. CISA raadt aan de netwerkblootstelling voor controlesysteemapparaten te minimaliseren, externe activa achter firewalls te plaatsen en operationele technologie-netwerken te scheiden van bedrijfssystemen.
12. Waar externe toegang vereist is, moeten organisaties veilige, volledig bijgewerkte VPN-diensten gebruiken en VPN-toegang beveiligen met sterke authenticatie- en apparaatbeveiligingscontroles.
13. Netwerkteams moeten RouterOS-logs controleren op onverwachte administratieve activiteiten, configuratiewijzigingen, ongebruikelijk uitgaand verkeer, nieuwe scripts, gewijzigde DNS-instellingen en onbekende gebruikersaccounts.
14. Na het patchen moeten blootgestelde inloggegevens worden geroteerd en moeten firewall- en toegangscontroleconfiguraties worden gevalideerd.