CVE-2026-84411: un underflow pre-autenticazione minaccia 367.000…

CISA ha pubblicato l'advisory ICSA-26-272-06 su una vulnerabilità critica in MikroTik RouterOS. Un singolo HTTP request craftato permette RCE come root senza

{"main_topic":"cybersecurity","topics":["cve","vulnerabilita","rce","router","patch"]}

Il 29 settembre 2026 CISA ha pubblicato l'advisory ICSA-26-272-06 su CVE-2026-84411, una vulnerabilità critica nel servizio di gestione web di MikroTik RouterOS. Un underflow di interi nella gestione della dimensione del corpo delle richieste HTTP consente a un attaccante remoto non autenticato di eseguire codice arbitrario come root con un singolo pacchetto craftato. Il motivo per cui la notizia solleva allarme immediato è la convergenza di tre fattori: la gravità tecnica, la semplicità di exploit, e una superficie di esposizione internet che supera le 367.000 interfacce web secondo rilevamenti Censys.

Punti chiave

CVE-2026-84411 è classificata CWE-191 (integer underflow) nel servizio di gestione web di RouterOS, raggiungibile prima dell'autenticazione secondo CISA.
Il punteggio CVSS v3.1 è 9.8 (Critical), quello v4.0 è 9.3 (Critical); l'exploitation richiede un singolo HTTP request craftato.
MikroTik non ha pubblicato advisory di sicurezza dedicato al CVE: l'unica fonte ufficiale rimane il provvedimento CISA.
Oltre 367.000 interfacce web RouterOS sono esposte su internet secondo Censys, su una base totale di oltre 2,8 milioni di dispositivi MikroTik rilevati da Shadowserver Foundation.

Il difetto: come un underflow di interi apre il root

Il problema risiede nel calcolo della dimensione del corpo della richiesta HTTP nel servizio di gestione web di RouterOS. La componente interessata è WebFig/www su TCP/80 e www-ssl su TCP/443. CISA descrive esplicitamente la condizione: «The web management service in affected RouterOS versions contains an integer underflow in its HTTP request body handling that is reachable before authentication». Questo errore di calcolo, una sottrazione che porta il valore al di sotto dello zero rappresentabile, corrompe la gestione della memoria successiva.

L'impact è massimo: l'attaccante non autenticato ottiene code execution come root, oppure può causare denial of service. La semplicità operativa è impressionante: un singolo pacchetto craftato. Non serve catena di exploit, non serve autenticazione, non serve interazione utente. Il vettore di attacco è AV:N/AC:L/PR:N/UI:N nel CVSS v3.1: rete, bassa complessità, nessun privilegio richiesto, nessuna interazione utente.

La confusione delle versioni: CISA dice 7.24, ma cosa succede a 7.23.x?

CISA e il National Vulnerability Database indicano come versione corretta la 7.24. Tuttavia esiste un ramo 7.23.x con rilasci successivi (7.23.4, 7.23.7) che MikroTik ha distribuito nel suo canale stabile. Il dossier non chiarisce se tali versioni intermedie contengano il backport della correzione per CVE-2026-84411. SecNews e BleepingComputer segnalano questa discrepanza: alcune fonti aggregatrici avevano inizialmente indicato 7.23 come sufficiente, ma CISA ha successivamente precisato 7.24.

Questa ambiguità non è marginale per gli operatori di infrastruttura critica. RouterOS non dispone di aggiornamento automatico: ogni patch richiede intervento manuale dell'amministratore. Se un operatore ha aggiornato a 7.23.7 credendo di essere protetto, ma quella build non include il fix, la macchina resta vulnerabile. MikroTik non ha pubblicato advisory di sicurezza dedicato per questo CVE: la documentazione ufficiale sul sito del vendor non menziona CVE-2026-84411 al momento della pubblicazione del provvedimento CISA.

Cosa fare adesso

Verificare la versione installata: solo RouterOS 7.24 o successivi sono indicati come corretti da CISA. Non presupporre che build 7.23.x intermedie contengano il fix.
Limitare l'esposizione internet del servizio di gestione web: disabilitare WebFig/www e www-ssl su interfacce pubbliche, o restringere l'accesso tramite firewall a indirizzi IP amministrativi noti.
Monitorare i log delle richieste HTTP anomale verso le interfacce di gestione: richieste con body size non coerente o pattern sospetti verso endpoint WebFig.
Verificare la disponibilità di patch ufficiali MikroTik specifiche per CVE-2026-84411, dato che al momento il vendor non ha pubblicato advisory dedicato.

La superficie di attacco: numeri che non ammettono attenuanti

CyberNews, citando dati Censys, riporta che oltre 367.000 host espongono l'interfaccia web di RouterOS su internet. Shadowserver Foundation rileva oltre 2,8 milioni di dispositivi MikroTik complessivamente esposti. Questi numeri non sono sovrapponibili: i 367.000 sono quelli con il servizio WebFig raggiungibile, i 2,8 milioni sono il totale dei dispositivi MikroTik con qualche servizio esposto.

Nessuna delle due rilevazioni verifica la versione effettiva del software in esecuzione. Il conteggio non dice quanti siano vulnerabili: dice quanti potrebbero esserlo se non aggiornati. Resta però una superficie di attacco eccezionalmente ampia per una vulnerabilità pre-autenticazione con exploit a singolo pacchetto.

"The web management service in affected RouterOS versions contains an integer underflow in its HTTP request body handling that is reachable before authentication. This can be leveraged by an unauthenticated network attacker to achieve arbitrary code execution as root, or to cause a denial of service, using a single crafted request." — CISA advisory ICSA-26-272-06

Il silenzio di MikroTik e il rischio di compliance

Il contesto istituzionale è rilevante. CISA ha ricevuto la segnalazione da un ricercatore anonimo e ha pubblicato autonomamente l'advisory. MikroTik non ha rilasciato comunicato di sicurezza proprio. Questo pattern non è inedito per il vendor lettone, ma per questa specifica vulnerabilità critica crea un vuoto normativo: gli operatori di infrastruttura critica soggetti a framework regolatori (NIS2, RFIE, CIR) hanno bisogno di documentazione vendor formale per attestare lo stato di patch.

L'EPSS (Exploit Prediction Scoring System) stima in 0,95% la probabilità di exploitation nei prossimi 30 giorni secondo Strix.ai. CISA afferma che «no known public exploitation specifically targeting this vulnerability has been reported to CISA at this time». Questi due indicatori — basso EPSS e assenza di exploitation nota — non offrono conforto strutturale: la vulnerabilità è tecnicamente banale da sfruttare, la superficie è immensa, e la comunità dei ricercatori indipendenti potrebbe già aver sviluppato proof-of-concept non divulgati.

La lettura redazionale è che MikroTik si trova a gestire un problema di governance della divulgazione. Quando un advisory governativo diventa l'unica fonte canonica per una vulnerabilità critica nel proprio prodotto, il rapporto di fiducia con la base installata si deteriora. Gli amministratori devono operare per inferenza, non per certezza vendor.

Domande frequenti

RouterOS 7.23.7 è sicuro?: Il dossier non lo conferma. CISA indica esplicitamente 7.24 come versione corretta. MikroTik non ha chiarito se le build 7.23.x intermedie contengano il backport del fix.
Perché CISA e non MikroTik ha pubblicato l'advisory?: CISA ha ricevuto la segnalazione da un ricercatore anonimo e ha proceduto alla coordinazione della divulgazione. Al momento della stesura, MikroTik non ha pubblicato advisory dedicato per CVE-2026-84411.
Il servizio Winbox è interessato?: Il brief non documenta vulnerabilità nel servizio Winbox. CISA descrive esclusivamente il servizio di gestione web (WebFig/www e www-ssl).

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter