CVE-2026-86060
Kritik CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 0.7%
- CWE
- CWE-88
- KEV Durumu
- Evet
Yayım tarihi: 5 Eylül 2026 · CISA KEV son iyileştirme tarihi: 13 Eylül 2026
Etkilenen: mikrotik routeros
RouterOS, yasak karakterle başlayan kullanıcı adlarını içeren SSH giriş yolunda bir argüman işleme hatası içerir, bu da güvenilir RouterOS politikası maskesinin değiştirilmesine ve yetki yükselmesine olanak tanır. İstismar için, RouterOS giriş yardımcı programına ulaşmak üzere kimlik doğrulaması yapılmamış bir SSH oturumu gerekir. Bu sorun, 6.49.21 (Uzun süreli), 7.23.4 (Uzun süreli) ve 7.24.2 (Kararlı) sürümlerinde giderilmiştir.
Orijinal açıklama (İngilizce)
RouterOS contains an argument-handling flaw in the SSH login path involving usernames that begin with a prohibited character, allowing for the trusted RouterOS policy mask to be changed, leading to privilege escalation. Exploitation requires an unauthenticated SSH session to reach the RouterOS login helper.This issue was fixed in versions: 6.49.21 (Long-term), 7.23.4 (Long-term) and 7.24.2 (Stable)
Referanslar
- https://cert.pl/en/posts/2026/09/mikrotik-routeros-cve
- https://cert.pl/en/posts/2026/09/vulnerabilities-in-mikrotik-routeros-actively-exploited/
- https://forum.mikrotik.com/t/6-49-21-long-term-is-released/272802
- https://forum.mikrotik.com/t/7-23-4-long-term-is-released/272801
- https://forum.mikrotik.com/t/7-24-2-stable-is-released/272800
- https://mikrotik.com/supportsec/september-2026-vulnerability/
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.