MikroTik RouterOS 严重漏洞可导致未认证根 RCE
Do Sun 2026-10-01 00:00 北京
速修复
聚焦源代码安全，网罗国内外最新资讯！
2026 年 9 月 29 日，CISA 发布了关于 MikroTik RouterOS 严重漏洞 CVE-2026-84411（CVSS评分9.8）的公告 ICSA-26-272-06。公告提到，单个精心构造的 HTTP 请求即可让未经身份验证的攻击者获得 root 代码执行权限。该漏洞评分为 CVSS 9.8。
RouterOS 运行在遍布全球家庭、ISP 和企业网络中使用的 MikroTik 路由器上。CISA 将受影响行业列为通信和信息技术，并提醒称“成功利用该漏洞可导致攻击者实现远程代码执行或导致拒绝服务。”
而就在前不久，波兰 CERT报告称，自 9 月初以来，攻击者一直在利用被称为 “MikroTrick” 的另外两个RouterOS 漏洞。
漏洞概述
该漏洞位于 RouterOS Web 管理服务中，它的HTTP 请求正文处理包含一个在任何登录检查之前运行的整数下溢。CISA提到，攻击者可以用它“通过单个精心构造的请求，以 root 身份实现任意代码执行，或导致拒绝服务”。
CISA 提到 RouterOS 7.24 之前的版本为受影响版本，该漏洞由一位匿名研究人员报送。CISA 表示，“尚未收到专门针对该漏洞的已知公开利用报告。”另外尚未出现公开的 PoC。
补丁和缓解步骤
用户可从官方 MikroTik 下载页面更新 RouterOS。MikroTik 最新的修复版本是 7.24.2 和 7.23.4，它们也修复了 MikroTrick 漏洞。
在打补丁之前，用户应将 Web 管理界面与互联网隔离。仅允许受信任的IP范围或VPN访问。由于利用该 MikroTik RouterOS 漏洞不需要凭据，因此应优先修复被暴露的路由器。
代码卫士试用地址：https://sast.qianxin.com/
开源卫士试用地址：https://oss.qianxin.com/
原文链接
https://securityonline.info/mikrotik-routeros-cve-2026-84411/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞”
本文转载自微信公众号「代码卫士」，查看原文。版权归原作者所有，如有侵权请联系删除。