Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] MikroTik opravuje 6 zranitelností, včetně řetězce MikroTrick

MikroTik verzemi 7.24.2, 7.23.4 a 6.49.21 v produktu RouterOS opravuje 6 zranitelností, z toho 3 (popsané níže) lze řetězit a zneužít k úplnému převzetí kontroly nad strojem [1][2][3]. Podle MikroTiku jsou tyto zřetězitelné zranitelnosti aktivně zneužívány [2]. Zbývající zranitelnosti lze nalézt na [1]. V případě, že došlo k neoprávněnému přístupu ke stroji, je možné, že stroj bude označen pomocí mechanismu "Flagged" - více podrobností na [4]. Pouze na tento mechanismus se nelze spoléhat a je nutné zkontrolovat i další možné známky zneužití stroje, např. kontrolou logů na podezřelé řetězce a neznámé změny v souborovém systému. Známé IoC lze nalézt na [2]. Pokud není možné aktualizovat, lze jako dočasnou nápravu omezit přístup k veřejně dostupným portům zařízení pouze na důvěryhodné IP adresy, nevytvářet TLS spojení z neaktualizovaných zařízení a nepoužívat vestavěného SSH klienta [2].

MikroTik - authentication bypass (CVE-2026-67279)
CVSS 6.9 (Medium)

Neověřený vzdálený útočník může při pokusu o využití funkcionality rekey se serverem vytvořit spojení a odeslat požadavek na provedení příkazu, což může způsobit neoprávněné vytváření a změny souborů včetně konfiguračních souborů [1].

Zranitelnost se nachází v produktu:

  • MikroTik RouterOS; >=7.24, <7.24.2; >=7.0.0, <7.23.4; >=6.0.0, <6.49.21;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Více informací:

Zranitelnost byla veřejně oznámena 5. 9. 2026.

MikroTik - SSH key falsification (CVE-2026-67276)
CVSS 9.2 (Critical)

Neověřený vzdálený útočník se znalostí uživatelského jména a modulu veřejného RSA klíče oběti může z důvodu nedostatečné kontroly RSA klíče otevřít spojení s možností zadávat příkazy a provádět akce jménem oběti útoku [1]. PoC je dostupné na [5].

Zranitelnost se nachází v produktu:

  • MikroTik RouterOS; >=7.24, <7.24.2; >=7.0.0, <7.23.4; >=6.0.0, <6.49.21;

CVSS: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Více informací:

Zranitelnost byla veřejně oznámena 5. 9. 2026.

MikroTik - privilege escalaiton (CVE-2026-86060)
CVSS 9.2 (Critical)

Neověřený vzdálený útočník může pomocí speciálně vytvořeného uživatelského jména zvýšit svá oprávnění na plný administrátorský přístup v systému RouterOS. Pro zneužití této zranitelnosti je nutné mít otevřenou neověřenou SSH relaci s přístupem k funkcionalitě RouterOS login helper na postiženém stroji, k čemuž lze využít zranitelnosti CVE-2026-67279 nebo CVE-2026-67276 [1][2].

Zranitelnost se nachází v produktu:

  • MikroTik RouterOS; >=7.24, <7.24.2; >=7.0.0, <7.23.4; >=6.0.0, <6.49.21;

CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Více informací:

  • CVE-2026-86060 na cve.org, NVD
  • CWE-88: Improper Neutralization of Argument Delimiters in a Command ('Argument Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 5. 9. 2026.

Za CESNET, z.s.p.o. Martin Krajči dne 7. 9. 2026.

CESNET, z.s.p.o. Logo