CVE-2026-86060

Adatlap

CVE: CVE-2026-86060
EUVD: EUVD-2026-72029
GHSA: GHSA-6425-cjxv-52gp
Eszköztípus: IT
Publikálva: 2026. 09. 05. 22:00
Frissítve: 2026. 09. 11. 05:55
Súlyosság: Kritikus
Prioritás: Riasztás
CWE: CWE-88

CVSS-pontszámok

Verzió	Pontszám	Súlyosság	Vektor
4.0	9,2	Kritikus	`CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N`

Hálózatról kihasználható · Alacsony komplexitás · Nem szükséges jogosultság · Nem szükséges felhasználói interakció

Eredeti leírás

RouterOS contains an argument-handling flaw in the SSH login
path involving usernames that begin with a prohibited character, allowing for the trusted RouterOS policy mask to be changed, leading to privilege escalation. Exploitation requires an unauthenticated SSH session to reach the RouterOS login helper.This issue was fixed in versions: 6.49.21 (Long-term), 7.23.4 (Long-term) and 7.24.2 (Stable)

Érintett termékek

RouterOS Mikrotik Verziók: 7.24 – < 7.24.2; 7.0.0 – < 7.23.4; 6.0.0 – < 6.49.21

Prioritás

Szint: Riasztás
Teendő: Azonnali intézkedés javasolt: a szoftvert 24 órán belül frissítse. Ha a frissítés nem telepíthető azonnal, alkalmazza a gyártó által javasolt kerülő megoldást, és a javításig fokozottan figyelje a sérülékenység kihasználására irányuló kísérleteket.

Kihasználási státusz

EPSS: 6,39%
Kihasználtság: Aktív
Kihasználás óta: 2026. 09. 10.
Automatizálhatóság: Igen
Technikai hatás: Teljes

Javítás

Javított verzió: 7.24.2, 7.23.4, 6.49.21
Gyártói hivatkozás: Van patch vagy gyártói közlemény a hivatkozások között