Se ha detectado una vulnerabilidad crítica en MikroTik RouterOS (CVE-2026-84411) con una puntuación de severidad de 9.8. Este fallo afecta a las versiones anteriores a la 7.24 y podría permitir que atacantes remotos no autenticados ejecuten código arbitrario con privilegios de root o provoquen una denegación de servicio. La CISA de EE. UU. ya ha publicado la advertencia correspondiente.

Una vulnerabilidad crítica en MikroTik RouterOS podría permitir que atacantes remotos no autenticados ejecuten código arbitrario con privilegios de nivel de root o provoquen una condición de denegación de servicio.

El fallo, rastreado como CVE-2026-84411, afecta a las versiones de MikroTik RouterOS anteriores a la 7.24 y tiene una puntuación de severidad CVSS v3 de 9.8. La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. publicó el aviso, identificado como ICSA-26-272-06, el 29 de septiembre de 2026.

La vulnerabilidad afecta a dispositivos de red desplegados globalmente, incluyendo sistemas utilizados en entornos de comunicaciones y tecnologías de la información.

El CVE-2026-84411 se clasifica como un desbordamiento inferior de enteros (integer underflow), también conocido como un problema de ajuste de enteros. Este tipo de debilidad ocurre cuando el software realiza un cálculo que produce un valor inferior al límite mínimo soportado por el tipo de datos correspondiente.

En lugar de rechazar de forma segura el valor inválido, la aplicación puede convertirlo en un número inesperadamente grande. En un producto orientado a la red como RouterOS, un atacante puede enviar solicitudes especialmente diseñadas para activar la ruta de código vulnerable.

Fallo Crítico de MikroTik RouterOS

Una explotación exitosa podría permitir la ejecución remota de código, otorgando potencialmente a un atacante el control a nivel de root del router afectado. El acceso root proporcionaría un control amplio sobre la configuración del dispositivo, el manejo del tráfico, las configuraciones de enrutamiento, los servicios de autenticación, las reglas del firewall y los scripts instalados.

El compromiso de un dispositivo RouterOS expuesto a internet puede crear riesgos graves derivados. Los atacantes podrían usar un router comprometido para interceptar o redirigir el tráfico de red, desplegar malware, modificar la configuración de DNS, establecer acceso persistente, escanear sistemas internos o usar el dispositivo como punto de entrada a un entorno empresarial más amplio.

En entornos industriales, el impacto puede ser más severo donde los routers proporcionan conectividad a sitios remotos, redes de tecnología operativa o activos de sistemas de control.

CISA advirtió que la explotación también podría causar una condición de denegación de servicio. Esto podría interrumpir los servicios de enrutamiento y hacer que los dispositivos remotos o los sistemas empresariales conectados no estén disponibles.

Si tu organización depende de dispositivos MikroTik para la conectividad de sucursales, administración remota, enrutamiento perimetral de internet o comunicaciones industriales, debes evaluar la exposición inmediatamente.

La mitigación principal es actualizar las instalaciones afectadas de MikroTik RouterOS a la versión 7.24 o posterior. Debes identificar todos los dispositivos MikroTik en tu entorno, incluyendo los sistemas gestionados por oficinas regionales, proveedores externos y sitios operativos remotos.

Los inventarios de activos también deben contabilizar los routers que no se gestionan centralmente o que están desplegados en segmentos de red heredados. Debes restringir las interfaces de gestión para que no sean directamente accesibles desde la internet pública.

CISA recomienda minimizar la exposición de red para los dispositivos de sistemas de control, colocando los activos remotos detrás de firewalls y separando las redes de tecnología operativa de los sistemas empresariales.

Cuando sea necesario el acceso remoto, debes utilizar servicios VPN seguros y totalmente actualizados, y proteger el acceso VPN con una autenticación fuerte y controles de seguridad de dispositivos.

Tu equipo de red debe revisar los registros de RouterOS en busca de actividad administrativa inesperada, cambios de configuración, tráfico saliente inusual, nuevos scripts, configuraciones de DNS alteradas y cuentas de usuario desconocidas. También debes rotar las credenciales expuestas después del parcheo y validar las configuraciones de firewall y control de acceso.

CISA afirmó que no ha recibido informes de explotación pública que apunte específicamente al CVE-2026-84411. Sin embargo, la combinación de acceso no autenticado, la posible ejecución de código a nivel de root y el despliegue generalizado de RouterOS hace que la remediación inmediata sea esencial.

Fuentes:
https://cybersecuritynews.com/critical-mikrotik-routeros-flaw/