MikroTik RouterOS: Mehrere Schwachstellen
WID-SEC-2026-3193 · primera publicación 07.09.2026 · actualizado 11.09.2026 · CVSS 9,8
De qué se trata
MikroTik RouterOS ist ein auf Linux basierendes Betriebssystem, das für MikroTik RouterBOARD Hardware und PC-Installationen entwickelt wurde und umfangreiche Routing-, Firewall- und Netzwerkverwaltungsfunktionen bietet. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in MikroTik RouterOS ausnutzen, um Sicherheitsvorkehrungen zu umgehen, um Informationen offenzulegen, um einen Denial of Service Zustand herbeizuführen und um die Kontrolle über betroffene Geräte zu übernehmen.
¿En qué condiciones?
A través de la red y sin iniciar sesión. Es la combinación más peligrosa: los atacantes pueden rastrear automáticamente los dispositivos accesibles.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- Sicherheitsvorkehrungen zu umgehen
- Informationen offenzulegen
- einen Denial of Service Zustand herbeizuführen
- die Kontrolle über betroffene Geräte zu übernehmen
¿Me afecta?
Afectados según el BSI:
- MikroTik RouterOS <6.49.21
- MikroTik RouterOS <7.23.4
- MikroTik RouterOS <7.24.2
- MikroTik RouterOS <7.25 beta 3
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- MikroTik RouterOS 6.49.21
- MikroTik RouterOS 7.23.4
- MikroTik RouterOS 7.24.2
- MikroTik RouterOS 7.25 beta 3
¿Se está explotando ya la vulnerabilidad?
- CVE-2026-67279: explotada en la práctica según la CISA, en el catálogo desde el 25.09.2026.
- CVE-2026-86060: explotada en la práctica según la CISA, en el catálogo desde el 10.09.2026.
- CVE-2026-67277: explotada en la práctica según la CISA, en el catálogo desde el 10.09.2026.
Información y fuentes
- Aviso original del BSI (WID)
- MikroTik RouterOS September 2026 Vulnerability vom 2026-09-06 mikrotik.com
- GitHub Security Advisory GHSA-pqp3-gjgf-83cf vom 2026-09-06 github.com
- GitHub Security Advisory GHSA-6425-cjxv-52gp vom 2026-09-06 github.com
- CERT Polska Advisory vom 2026-09-05 cert.pl
CVE: CVE-2026-67276, CVE-2026-67277, CVE-2026-67278, CVE-2026-67279, CVE-2026-67281, CVE-2026-86060
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.