CVE-2026-86060: Vulnerabilidad Crítica en MikroTik RouterOS

🚨 Alerta crítica: Se ha identificado una vulnerabilidad de escalada de privilegios en MikroTik RouterOS, clasificada como CVE-2026-86060. Esta falla permite a un atacante no autenticado manipular la máscara de políticas de RouterOS a través del servicio SSH, comprometiendo la integridad del sistema. La puntuación CVSS es 9.2 (Crítica), por lo que se recomienda aplicar las actualizaciones disponibles de manera inmediata.

Cadena de riesgo y respuesta para CVE-2026-86060

Resumen ejecutivo

Campo	Detalle
CVE	CVE-2026-86060
Fabricante	MikroTik
Producto	RouterOS
Fecha de publicación	2026-09-05
Severidad	Crítica
CVSS	9.2 (CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)
Puntuación de prioridad	225
Acción recomendada	Aplicar actualizaciones disponibles para RouterOS 6.49.21, 7.23.4 o 7.24.2 según corresponda.

¿Qué es la vulnerabilidad?

La CVE-2026-86060 es una vulnerabilidad de inyección de argumentos (CWE-88) en el proceso de autenticación SSH de MikroTik RouterOS. Específicamente, el fallo ocurre cuando se procesan nombres de usuario que comienzan con un carácter prohibido, lo que permite modificar la máscara de políticas (policy mask) del sistema. Esto posibilita que un atacante no autenticado, con acceso a la sesión SSH, pueda escalar privilegios dentro del dispositivo.

Esta falla ha sido corregida en las versiones 6.49.21 (Long-term), 7.23.4 (Long-term) y 7.24.2 (Stable).

Productos y versiones vulnerables

Según los datos publicados por CVE.org y NVD, las siguientes versiones de RouterOS están afectadas:

Producto	Versiones afectadas	Versión corregida
RouterOS	7.0.0 a 7.24	7.24.2
RouterOS	6.0.0 a 6.49.20	6.49.21
RouterOS	7.0.0 a 7.23.3	7.23.4

Nota: Las versiones exactas no publicadas en las fuentes se indican como rangos según la información disponible.

Impacto y riesgo

La explotación exitosa de esta vulnerabilidad permite a un atacante no autenticado modificar la política de seguridad del dispositivo, lo que puede resultar en:

Escalada de privilegios a nivel administrativo.
Acceso no autorizado a la configuración del router.
Posible interrupción del servicio o modificación de reglas de firewall.
Compromiso de la confidencialidad, integridad y disponibilidad del dispositivo.

Estado de explotación conocida

No se ha confirmado explotación activa en las fuentes consultadas. Sin embargo, dado el alto puntaje CVSS y la naturaleza de la vulnerabilidad, se recomienda asumir que podría ser explotada en entornos expuestos.

Indicadores de compromiso (IOC)

No se han publicado indicadores de compromiso estructurados en las fuentes consultadas. No se deben inventar IOC.

Cómo comprobar si estás afectado

Para determinar si tu dispositivo es vulnerable, verifica la versión de RouterOS instalada. Puedes hacerlo a través de la interfaz web o CLI de MikroTik. Si la versión es anterior a las corregidas (6.49.21, 7.23.4 o 7.24.2), se considera afectada.

Mitigación y actualización

MikroTik ha publicado actualizaciones para solucionar esta vulnerabilidad. Se recomienda encarecidamente actualizar a las versiones corregidas:

RouterOS 6.49.21 (Long-term)
RouterOS 7.23.4 (Long-term)
RouterOS 7.24.2 (Stable)

Adicionalmente, se debe limitar el acceso SSH a redes confiables y monitorear los logs de autenticación.

Checklist para administradores

☐ Identificar la versión actual de RouterOS en todos los dispositivos.
☐ Comparar con las versiones vulnerables listadas.
☐ Aplicar las actualizaciones disponibles en un entorno de prueba.
☐ Restringir el acceso SSH solo a direcciones IP confiables.
☐ Revisar los logs de autenticación en busca de intentos anómalos.
☐ Mantener un inventario actualizado de activos de red.

Preguntas frecuentes

¿Qué es CWE-88?

CWE-88 es la debilidad de neutralización inadecuada de delimitadores de argumentos en un comando, también conocida como ‘argument injection’.

¿La vulnerabilidad afecta a todos los modelos de MikroTik?

La vulnerabilidad está en el sistema operativo RouterOS, por lo que cualquier dispositivo que ejecute una versión afectada es vulnerable, independientemente del hardware.

¿Puedo mitigar la vulnerabilidad sin actualizar?

No se ha publicado una mitigación alternativa. La actualización es la única solución confirmada.

¿Cómo sé si mi dispositivo ya fue comprometido?

No hay indicadores de compromiso publicados. Se recomienda revisar los logs de autenticación y buscar cambios inusuales en la configuración.

¿Qué hago si no puedo actualizar de inmediato?

Como medida temporal, restringe el acceso SSH a redes internas confiables y monitorea activamente los intentos de conexión.

¿Dónde puedo obtener más información?

Consulta las fuentes oficiales en la sección correspondiente de este artículo.