Целочисленное переполнение в WebFig RouterOS позволяет выполнить код

Веб-интерфейс WebFig операционной системы RouterOS, которая работает на маршрутизаторах MikroTik, содержит уязвимость. Удалённый злоумышленник может выполнить на устройстве произвольный код или спровоцировать отказ в обслуживании. Проблеме присвоен идентификатор CVE-2026-84411, в Банке данных угроз безопасности информации она числится как BDU:2026-16178. Оценка по CVSS 3.1 достигает 9,8, по CVSS 4.0 - 9,3. Уровень опасности критический. Эксплойт уже выложен в открытый доступ, и это заметно повышает риски.

Уязвимость CVE-2026-84411 в MikroTik RouterOS

Аутентификация для атаки не нужна. Вектор сетевой, сложность низкая, участие пользователя не требуется. Злоумышленнику достаточно дотянуться до веб-панели устройства по сети. Производитель подтвердил проблему, поэтому сомнений в её реальности не остаётся. Публикация готового эксплойта снижает порог входа: повторить атаку способен любой, у кого есть базовые навыки и доступ к интерфейсу.

Причина - ошибка в целочисленных вычислениях класса CWE-191, целочисленная потеря значимости. Такие ошибки возникают, когда результат арифметической операции выходит за границы разрядной сетки. Число в памяти оказывается меньше минимально допустимого и превращается в огромное значение. Программа продолжает считать его корректным. Размеры буферов и структур данных при этом пересчитываются неверно.

Способ эксплуатации в описании обозначен как манипулирование структурами данных. Злоумышленник подбирает входные значения так, чтобы арифметика внутри WebFig дала неверный результат. Дальше всё зависит от того, куда попадёт искажённое число. В одном случае процесс обработки запроса аварийно завершается, и панель управления перестаёт отвечать. В другом ошибка расчёта позволяет перезаписать служебные данные и передать управление чужому коду.

Кого затрагивает проблема

WebFig открывается из браузера и служит одним из основных способов настройки RouterOS. Администраторы нередко держат панель доступной из интернета, чтобы управлять устройством удалённо. Маршрутизаторы MikroTik массово работают на границе сетей у небольших операторов связи, в офисах и дома. Контроль над таким устройством даёт злоумышленнику доступ к трафику, возможность менять правила маршрутизации и перенаправлять запросы.

Уязвимы все версии RouterOS до 7.24. Дата выявления - 29 сентября 2026 года. Критический уровень присвоен по всем трём версиям методики CVSS: 10 по CVSS 2.0, 9,8 по CVSS 3.1 и 9,3 по CVSS 4.0. Совпадение оценок говорит о том, что опасность не зависит от того, как именно считать вектор атаки.

Как закрыть уязвимость

Ошибку исправили в RouterOS 7.24. Все более ранние сборки остаются под угрозой. Производитель опубликовал рекомендации. Он же подтвердил наличие проблемы, так что дополнительных разъяснений ждать не нужно.

Администраторам стоит обновить RouterOS до 7.24 или более поздней версии. Если обновление откладывается, закройте веб-панель от внешних сетей. Оставьте доступ только с доверенных адресов либо спрячьте WebFig за VPN. Полезно проверить правила firewall на самом устройстве и отключить службы управления, которыми никто не пользуется.

Отдельного внимания заслуживают устройства, где веб-интерфейс смотрит в интернет напрямую. Именно такие конфигурации позволяют провести атаку без единого шанса заметить её заранее. Ограничение списка адресов и смена учётных данных не заменяют обновление, но сокращают окно, в котором эксплойт сработает.

Целочисленные ошибки редко выглядят устрашающе. Результат вычитания, вышедший за границы разрядной сетки, кажется безобидной деталью. Однако в интерфейсе управления сетевым оборудованием такая мелочь открывает путь к полному контролю над устройством. Открытый эксплойт, отсутствие аутентификации и доступность панели по сети складываются в сценарий, где скорость установки исправления важнее любых обходных мер.

Уязвимость CVE-2026-84411 в MikroTik RouterOS

Кого затрагивает проблема

Как закрыть уязвимость

Ссылки