В RouterOS нашли критическую уязвимость в веб-интерфейсе WebFig

21 октября 2026 года опубликована уязвимость CVE-2026-89035 (GHSA-j7mx-6943-qw55) в MikroTik RouterOS. Ей присвоена критическая оценка: 9.1 балла по CVSS 4.0. Ошибка находится в веб-интерфейсе WebFig. Если злоумышленник перехватил токен сессии, он может снова использовать его в новом соединении и войти на устройство без пароля, с правами администратора. Причина в функции makeSessionKey из библиотеки libucrypto.so: она строит ключ сессии на фиксированных «солях» и никак не привязывает его к конкретному каналу или сессии. Сервис пользователей при проверке токена тоже не смотрит, через какой канал он пришёл. Украденный токен остаётся рабочим, пока хранилище токенов не очистят явно, так что доступ может сохраняться долго.

Уязвимы RouterOS 7.23.6 и более ранние версии, а также ветка 7.24.0–7.24.5. Сложность атаки оценена как высокая, потому что сначала нужно добыть токен. Новая проблема развивает найденную ранее CVE-2025-61481, которая касалась перехвата данных на транспортном уровне и тоже осталась без исправления. Уязвимость нашёл Валентин Лобштейн (Chocapikk).

На момент публикации ни в бюллетене GitHub, ни у VulnCheck нет ни исправленной версии, ни официального обходного решения. Владельцам MikroTik стоит следить за обновлениями RouterOS на сайте производителя. Пока патча нет, разумно закрыть доступ к WebFig из интернета и недоверенных сетей: отключить службу www или разрешить её только с адресов администраторов.

Источники: GitHub Advisory, VulnCheck, NVD.