Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-86060 |
| Źródło alertu | CISA KEV - Aktywna eksploatacja |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-09-10 |
| Producent | MikroTik |
| Produkt | RouterOS |
| CVSS Score | 9.8 (Krytyczny) |
| EPSS Score | 1.1% (percentyl: 63%) |
| CISA KEV | Tak - potwierdzona aktywna eksploatacja |
| Ransomware | Nie potwierdzono |
| Termin na reakcję | 2026-09-13 |
Opis podatności
Źródło: CISA KEV
MikroTik RouterOS zawiera podatność klasy improper neutralization of argument delimiters in a command — niewłaściwej neutralizacji separatorów argumentów w poleceniu.
Mechanizm należy do tej samej rodziny co wstrzyknięcia poleceń: dane wejściowe trafiają do polecenia bez usunięcia znaków, które rozdzielają argumenty, więc atakujący może dopisać argument, którego system nie przewidywał. W tym przypadku skutkiem jest możliwość zmiany zaufanej maski polityk RouterOS (trusted RouterOS policy mask), czyli struktury decydującej o zakresie uprawnień. Prowadzi to do eskalacji uprawnień.
Znaczenie tej podatności bierze się z roli urządzenia: RouterOS działa na routerach brzegowych, czyli tam, gdzie przebiega granica między siecią organizacji a internetem. Eskalacja uprawnień na urządzeniu brzegowym oznacza kontrolę nad trasowaniem i regułami filtrowania ruchu.
Pozycja figuruje w katalogu CISA KEV jako aktywnie wykorzystywana, a wyznaczony termin reakcji minął 2026-09-13.
Wymagane działania
Zastosuj środki zaradcze zgodnie z instrukcjami producenta, zachowując zgodność z dyrektywą CISA BOD 26-04 („Prioritizing Security Updates Based on Risk”) oraz wytycznymi CISA „Forensics Triage Requirements”. W przypadku usług chmurowych postępuj według właściwych zapisów BOD 26-04, a jeżeli środki zaradcze nie są dostępne — zaprzestań korzystania z produktu.
Ocena ekspozycji każdego zasobu na dostęp z internetu oraz przestrzeganie zasad aktualizacji wynikających z BOD 26-04 pozostają po stronie organizacji.
Kogo dotyczy?
Podatność dotyczy organizacji korzystających z urządzeń MikroTik z systemem RouterOS.
W polskich realiach RouterOS bywa obecny w miejscach, które nie trafiają do centralnej ewidencji: w oddziałach, w lokalizacjach zdalnych, na łączach zapasowych i w infrastrukturze przejętej wraz z akwizycją. Zacznij inwentaryzację od wykazu adresów publicznych, a nie od rejestru zasobów — urządzenia, o których nikt nie pamięta, to zwykle te z najstarszym firmware’em.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
