CVE-2026-84411: критическая уязвимость в web-сервисе RouterOS, исправлено в 7.24

Что нового

Релиз RouterOS 7.24 в рамках данного advisory не приносит новых функций — это security-релиз, закрывающий критическую уязвимость в web-сервисе управления. Отдельных изменений changelog в исходнике не приводится: обновление публикуется именно как фикс безопасности.

Исправление доступно в стабильной ветке v7 начиная с версии 7.24. Для long-term v7 и long-term v6 релизы с фиксом на момент публикации advisory ещё не выпущены — они помечены как «release pending».

Что исправлено

Устранена уязвимость CVE-2026-84411 — integer underflow при обработке тела HTTP-запроса в web-сервисе RouterOS (сервис WebFig, слушающий порты www и www-ssl).

Ключевое из advisory:

• Один специально сформированный HTTP-запрос, отправленный без авторизации, мог привести к падению сервиса или к выполнению кода на роутере с полными привилегиями.
• Уровень опасности — critical.
• Уязвимы версии RouterOS до 7.24, включая RouterOS v6, если web-интерфейс доступен атакующему.
• Устройства на RouterOS 7.24 и новее не подвержены проблеме.

Отдельные CVE, кроме указанной, в исходнике не упоминаются.

Краткое заключение

Обновляться до 7.24 нужно как можно скорее, если web-интерфейс (WebFig / www / www-ssl) хоть как-то достижим из недоверенных сетей. Это критическая уязвимость с возможностью удалённого выполнения кода без аутентификации — самый опасный класс проблем для пограничного устройства.

Важные оговорки:

• Пользователям v7 long-term и v6 long-term придётся либо дождаться релиза с фиксом, либо перейти на stable 7.24, либо временно ограничить доступ к web-сервису.
• При дефолтных правилах firewall web-интерфейс из интернета уже заблокирован, поэтому такое устройство достижимо только из локальной сети — но это не отменяет риска внутри периметра.
• Владельцам RouterBOARD после обновления пакетов может потребоваться также обновить прошивку RouterBOARD (см. ниже).

Временная мера, если обновиться прямо сейчас нельзя: закройте сервисы www и www-ssl в IP → Services для недоверенных адресов или отключите их полностью, если управляете роутером через WinBox или SSH. Ещё лучше — использовать VPN (например, WireGuard) и не открывать порты управления наружу.

Перед обновлением: бэкап

Сохраните бинарный бэкап и экспорт конфигурации перед любыми действиями:

/system backup save name=before-upgrade
/export file=before-upgrade-export

Файлы before-upgrade.backup и before-upgrade-export.rsc появятся в Files. Рекомендуется скачать их на компьютер через WinBox/FTP/SFTP до перезагрузки.

Скачать пакет

В открытом advisory конкретный URL пакета не приводится, поэтому используйте штатный портал загрузок MikroTik:

1. Откройте mikrotik.com/download.
2. Выберите ветку Stable и версию 7.24 (или актуальный стабильный релиз с фиксом).
3. Скачайте пакет routeros-<version>-<arch>.npk под архитектуру вашего устройства (arm, arm64, mipsbe, smips, mmips, tile, x86 и т.д. — точный список на странице загрузки).

Узнать архитектуру роутера можно командой:

/system resource print

Если пакет уже скачан на компьютер, загрузите его на роутер через WinBox (Files → drag & drop) или командой:

/tool fetch url="https://download.mikrotik.com/routeros/7.24/routeros-7.24-arm.npk" dst-path=routeros-7.24-arm.npk

Замените arm на архитектуру вашего устройства и убедитесь, что итоговый URL совпадает с реальным именем файла на портале — MikroTik может менять раскладку каталогов.

Обновление RouterOS / RouterBOARD

Штатный способ через сервер обновлений MikroTik (после бэкапа):

/system package update check-for-updates
/system package update download
/system package update install

Если обновляетесь вручную из уже загруженного .npk-файла, лежащего в Files:

/system package update install

После установки пакетов обновите прошивку RouterBOARD (для устройств RouterBOARD) и перезагрузитесь:

/system routerboard print
/system routerboard upgrade
/system reboot

После перезагрузки проверьте версию и, при необходимости, повторите цикл обновления RouterBOARD до совпадения версий current-firmware и upgrade-firmware:

/system resource print
/system routerboard print

Источник: MikroTik Security