Múltiples vulnerabilidades en RouterOS de MikroTik

El CERT Polska ha dado a conocer la existencia de tres fallos de seguridad que afectan al sistema operativo RouterOS de MikroTik, de los cuales dos se consideran críticos y uno presenta un nivel de importancia alto. Estas fallas pueden ser aprovechadas por actores maliciosos para lograr diferentes objetivos, como generar un acceso SSH con una clave distinta, conseguir una elevación de privilegios, provocar una filtración de memoria en el núcleo o ejecutar un ataque de denegación de servicio a distancia.

En detalle, el primer fallo identificado con CVE-2026-67276 surge porque el sistema no valida de forma adecuada las claves públicas de autenticación SSH, permitiendo que un atacante con conocimiento del usuario y del módulo público cree una clave alternativa para entrar sin la clave privada. La segunda vulnerabilidad, bajo el identificador CVE-2026-86060, se origina por una gestión incorrecta de nombres de usuario que inician con un carácter prohibido en el inicio de sesión SSH, posibilitando una elevación de privilegios administrativos totales. Por último, el fallo CVE-2026-67277 involucra al servicio de prueba de ancho de banda y, al combinarse con problemas de divulgación de datos y desbordamiento de enteros, puede derivar en fugas de memoria del kernel o reinicios del sistema mediante un ataque DoS remoto.

Para mitigar estos problemas, el fabricante ha puesto a disposición de los usuarios las actualizaciones correspondientes que solucionan las deficiencias reportadas. Las versiones afectadas corresponden a aquellas anteriores a las soluciones publicadas por la compañía.