MikroTik RouterOS: test di banda (btest) raggiungibile senza autenticazione

Cosa significa per l'impianto

Il router RouterOS è spesso la porta tra telecamere, NVR e internet. Qui un client non autenticato può avviare un test di banda e ottenere porzioni di memoria del kernel (la fonte non dice quali dati contengano) oppure provocare il riavvio del sistema. Un riavvio forzato interrompe per il tempo necessario accesso remoto, VPN e invio delle registrazioni a sedi o cloud. Il rischio riguarda soprattutto i router su cui il servizio btest è raggiungibile da internet o da reti non fidate.

Come capire se sei esposto

• Il servizio di test della banda (btest) del router è raggiungibile da internet o da reti non fidate?
• Un riavvio improvviso del router interromperebbe accesso remoto, VPN o invio delle registrazioni a un'altra sede?
• I router MikroTik del sito eseguono RouterOS in una versione precedente alla 6.49.21, alla 7.23.4 o alla 7.24.2 (per un'altra falla dello stesso lotto, quella sui certificati, MikroTik e CERT Polska indicano 7.24.3 o 7.23.6)?
• Se il router era esposto prima dell'aggiornamento, è stato valutato come possibile compromesso (CERT Polska avverte che l'assenza di indicatori noti non esclude un'intrusione)?

Una vulnerabilità pubblicata è un rischio da verificare, non la prova di un'intrusione avvenuta.

Prodotti e versioni

Fonti

• https://mikrotik.com/supportsec/september-2026-vulnerability/
• https://cert.pl/en/posts/2026/09/vulnerabilities-in-mikrotik-routeros-actively-exploited/
• https://cert.pl/en/posts/2026/09/mikrotik-routeros-cve
• https://npratley.net/reversing-mikrotiks-silent-patch-the-routeros-7-23-4-fix-they-wouldnt-explain/
• https://forum.mikrotik.com/t/6-49-21-long-term-is-released/272802
• https://forum.mikrotik.com/t/7-23-4-long-term-is-released/272801
• https://forum.mikrotik.com/t/7-24-2-stable-is-released/272800
• https://euvd.enisa.europa.eu/vulnerability/EUVD-2026-72025
• https://nvd.nist.gov/vuln/detail/CVE-2026-67277
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog

Scheda compilata in automatico il 20 ottobre 2026 dalle fonti indicate, secondo le regole redazionali di ipfacile. Testo non rivisto da una persona prima della pubblicazione. Hai trovato un errore? Segnalacelo.

Vedi tutti gli avvisi della settimana Vulnerabilità, sanzioni del Garante ed edizioni, in un'unica pagina.