MikroTik RouterOS-lek CVE-2026-84411 geeft root zonder login
Een kritiek lek in MikroTik RouterOS kan een aanvaller in staat stellen een router over te nemen zonder in te loggen. Dat meldt het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA). CISA is de federale dienst die de cyberverdediging van Amerikaanse overheidsnetwerken en vitale infrastructuur coördineert.
De kwetsbaarheid, bekend als CVE-2026-84411, zit in het deel van RouterOS dat HTTP-verzoeken aan de webbeheerinterface afhandelt. Het gaat om een integer underflow, die al kan worden getriggerd voordat er enige authenticatie plaatsvindt.
Eén verzoek is genoeg
Een integer underflow ontstaat wanneer een berekening een getal oplevert dat kleiner is dan wat de variabele kan bevatten. De waarde slaat dan om naar iets onverwachts. In dit geval raakt de bug de manier waarop RouterOS de body van binnenkomende HTTP-verzoeken verwerkt.