RouterOS WebFig 未认证 RCE CVE-2026-84411 处置提示

这次说的是 MikroTik RouterOS 那个整数下溢。10 月 6 日 MikroTik 在官方安全页面挂的公告，编号 CVE-2026-84411，官方自己给的等级是 critical。



我一开始看到“整数下溢”没太在意，往下翻到“位于身份认证之前”这句才停下来。漏洞位置在 RouterOS 的 Web 管理服务，也就是 WebFig 背后那个监听 www 和 www-ssl 端口的服务。HTTP 请求体处理时长度计算发生回绕，算出一个异常大的数值，而这条代码路径在认证之前就会跑到——不需要登录，单个构造好的 HTTP 请求过去就能造成内存破坏，轻则把服务打崩，重则以设备上的完整权限执行代码，root。

影响范围：7.24 之前的 RouterOS 版本，RouterOS v6 也在内。前置条件是攻击者能访问到设备的 Web 管理界面。

修复版本：7.24（v7 stable，官方表述是 fixed, since 7.24）。这里有个要特别注意的点——v7 long-term 和 v6 long-term 分支的修复状态官方写的是 release pending，也就是说跑长期支持分支的设备目前还没有可用补丁，只能先做缓解，或者考虑切到 stable 分支。

不能立刻升级的话，官方给的缓解办法就是把 Web 界面挡住：在 IP → Services 里把 www 和 www-ssl 限制到可信地址；如果你平时用 WinBox 或 SSH 管理，直接把这两个服务禁用掉最省事。官方还特意提了一句，默认配置下的防火墙已经把来自互联网的 Web 界面访问挡掉了，保持默认防火墙规则的设备只暴露在内网。更彻底的做法是用 WireGuard 这类 VPN 接入，一个管理端口都不对外开。

查版本和 Web 服务状态这两条命令在 RouterOS 里是这样：

/system resource print

/ip service print

第一条看当前 RouterOS 版本，第二条看 www 和 www-ssl 两行的状态和可用地址范围。如果这两行是 enabled 而且地址范围是 0.0.0.0/0，那就是最该先处理的一类。

同一个批次官方还挂了另外两个，一起说了省得漏。

CVE-2026-89020：/tool fetch 处理超长 tftp:// 地址时的缓冲区溢出。这个需要有效账号才能触发，官方强调连只读账号都能触发，所以多账号或共用账号的设备要当回事。修复版本是 7.24.2（stable）、7.23.4（long-term）、6.49.21（stable / long-term）。

CVE-2026-89021：容器功能的路径遍历。导入容器镜像时，镜像里精心构造的链接可以让文件被写到容器目录之外，也就是设备存储上的任意位置，而且不需要启动容器，导入就够了。只影响开了容器功能的设备，RouterOS 6 没有这个功能所以不受影响。修复在 7.24.2，官方明确写了 7.23.x long-term 分支没有 backport 计划——跑容器又用 long-term 分支的，要么切 stable，要么只导入自己构建或可信来源的镜像。

来源：

1. MikroTik 官方安全公告 CVE-2026-84411
https://mikrotik.com/supportsec/cve-2026-84411

2. MikroTik 官方 Security 博客（同批 CVE-2026-84411 / CVE-2026-89020 / CVE-2026-89021，2026-10-06）
https://blog.mikrotik.com/

3. CISA ICS 公告 ICSA-26-272-06
https://www.cisa.gov/news-events/ics-advisories/icsa-26-272-06

4. 阿里云漏洞库 AVD-2026-84411（CVSS 3.1 9.8，CWE-191）
https://avd.aliyun.com/detail?id=AVD-2026-84411

真实性核对说明：CVE 编号、漏洞位置（WebFig 背后的 www / www-ssl 服务）、未认证即可触发、影响 7.24 之前的版本（含 v6）、修复版本 7.24，这五点在 MikroTik 官方公告和阿里云漏洞库（引用 CISA ICSA-26-272-06）上一致。评分口径上，官方只写了 critical 没给具体分值，阿里云给的是 CVSS 3.1 9.8，方向一致但不同源，这里以官方定性为准。时间上官方公告挂的是 10 月 6 日，阿里云记录的披露时间是 10 月 3 日，属于收录与发布的时差，不影响结论。另外把官方注明 long-term 分支修复状态为 pending 这件事如实保留，没有当成已修复。

HKTULU
2026-10-25