MikroTik RouterOS: Integer-Underflow im Webverwaltungsdienst ermöglicht RCE vor Authentifizierung

Zusammenfassung

Der Webverwaltungsdienst (WebFig, www und www-ssl) in betroffenen MikroTik-RouterOS-Versionen enthält einen Integer-Underflow bei der Verarbeitung des HTTP-Request-Bodys. Ein nicht authentifizierter Netzwerkangreifer kann mit einer einzigen präparierten Anfrage beliebigen Code als root ausführen oder einen Denial of Service auslösen. Der Angreifer benötigt lediglich Netzwerkerreichbarkeit des Webinterfaces; Zugangsdaten und Benutzerinteraktion sind nicht erforderlich.

Betroffen

• MikroTik RouterOS Versionen vor 7.24 (gemäss CVE-Eintrag und Sicherheitshinweis von MikroTik)
• Laut Sicherheitshinweis des Herstellers sind auch v6-Versionen betroffen; den genauen v6-Bereich auf der MikroTik-Sicherheitsseite prüfen
• Unbekannt: ob der Bereich genau "bis 7.23" entspricht, wie VulDB angibt

Behoben in

• RouterOS v7 Stable: 7.24
• RouterOS v7 Long-term: 7.23.8
• RouterOS v6 Stable/Long-term: 6.49.23

Umgehung

• Die Dienste www und www-ssl unter IP > Services auf vertrauenswürdige Management-Adressen beschränken.
• Wenn der Router über WinBox oder SSH verwaltet wird, www und www-ssl deaktivieren.
• Das Webverwaltungsinterface bis zur Behebung nicht aus dem Internet erreichbar machen.
• Diese Massnahmen sind nur Schutzmassnahmen; das Update ist die eigentliche Behebung.

Ausnutzung

• CISA meldet keine bekannte öffentliche Ausnutzung dieser Schwachstelle.
• BleepingComputer meldete zum Zeitpunkt der Veröffentlichung keine öffentlich bekannte aktive Ausnutzung.
• Öffentlicher Exploit-Code und Reproduktionsrepositories sind auf GitHub verzeichnet; deren Funktionsfähigkeit ist nicht verifiziert.
• CISA SSVC: automatisierbar ja, technische Auswirkung total.
• Nicht im Katalog der bekannten ausgenutzten Schwachstellen (KEV) der CISA bestätigt.

Unsere Empfehlung

• Alle MikroTik-Geräte inventarisieren, auch jene von Filialen und externen Dienstleistern, und die RouterOS-Version erfassen.
• Umgehend auf eine fixe Version (7.24, 7.23.8 oder 6.49.23) aktualisieren.
• www und www-ssl einschränken oder deaktivieren; sie dürfen nicht auf dem WAN-Interface oder per Portweiterleitung exponiert sein.
• Logs auf unerwartete HTTP-Anfragen an das Webinterface des Routers und auf unbekannte Konfigurationsänderungen prüfen.
• Das Risiko als höher einstufen, wenn das Webinterface aus nicht vertrauenswürdigen Netzen erreichbar ist; ein kompromittierter LAN-Host kann es ebenfalls erreichen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (2 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  maxprog-svg/CVE-2026-84411 · Apiratchai/CVE-2026-84411-reproduction

Quellen der Recherche

• CISA ICS Advisory ICSA-26-272-06 www.cisa.gov
• MikroTik Security Advisory CVE-2026-84411 mikrotik.com
• MikroTik Downloads mikrotik.com
• CISA CSAF JSON (GitHub) github.com
• Cycognito analysis www.cycognito.com
• BleepingComputer report www.bleepingcomputer.com
• Tenable CVE record www.tenable.com
• VulDB CVE-2026-84411 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:33.