MikroTik RouterOS: comandi accettati dal server SSH prima dell'autenticazione

Cosa significa per l'impianto

Il router RouterOS è spesso il varco tra telecamere, NVR e internet e il punto di accesso VPN dell'impianto. Questa falla consente a un client SSH non autenticato di far eseguire un comando e di creare o sovrascrivere file gestiti da RouterOS, compresi file di supporto con configurazione e dati diagnostici. Il punteggio è medio, ma la voce è nel catalogo KEV e, secondo l'avviso MikroTik, è la falla osservata in sfruttamento reale. Il rischio riguarda soprattutto i router con SSH raggiungibile da internet.

Come capire se sei esposto

• I router MikroTik del sito eseguono RouterOS in una versione precedente alla 6.49.21, alla 7.23.4 o alla 7.24.2 (per un'altra falla dello stesso lotto, quella sui certificati, MikroTik e CERT Polska indicano 7.24.3 o 7.23.6)?
• Il servizio SSH del router è raggiungibile da internet o da reti non fidate?
• La configurazione del router contiene credenziali VPN o regole di inoltro verso telecamere e NVR che sarebbero esposte se i suoi file fossero alterati?
• Se il router era esposto prima dell'aggiornamento, è stato valutato come possibile compromesso (CERT Polska avverte che l'assenza di indicatori noti non esclude un'intrusione)?

Una vulnerabilità pubblicata è un rischio da verificare, non la prova di un'intrusione avvenuta.

Prodotti e versioni

Fonti

• https://mikrotik.com/supportsec/september-2026-vulnerability/
• https://cert.pl/en/posts/2026/09/vulnerabilities-in-mikrotik-routeros-actively-exploited/
• https://cert.pl/en/posts/2026/09/mikrotik-routeros-cve
• https://npratley.net/reversing-mikrotiks-silent-patch-the-routeros-7-23-4-fix-they-wouldnt-explain/
• https://forum.mikrotik.com/t/6-49-21-long-term-is-released/272802
• https://forum.mikrotik.com/t/7-23-4-long-term-is-released/272801
• https://forum.mikrotik.com/t/7-24-2-stable-is-released/272800
• https://euvd.enisa.europa.eu/vulnerability/EUVD-2026-72027
• https://nvd.nist.gov/vuln/detail/CVE-2026-67279
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog

Scheda compilata in automatico il 20 ottobre 2026 dalle fonti indicate, secondo le regole redazionali di ipfacile. Testo non rivisto da una persona prima della pubblicazione. Hai trovato un errore? Segnalacelo.

Vedi tutti gli avvisi della settimana Vulnerabilità, sanzioni del Garante ed edizioni, in un'unica pagina.