MikroTik RouterOS'ta düşük yetkili kullanıcının admin olmasına izin veren açık kapatıldı

Yaygın kullanılan yönlendirici ve ağ cihazı işletim sistemi MikroTik RouterOS’ta, düşük yetkili bir kullanıcının yönetici (admin) yetkisine ulaşmasına izin veren bir açık kapatıldı. CVE-2026-103903 numaralı açık, cihaza WinBox aracıyla bağlanırken çalışan kimlik doğrulama akışındaki bir yetkilendirme hatasından kaynaklanıyor. CVSS puanı 8.8.

Açığın işleyişi WinBox girişinin iki aşamalı yapısında gizli. Saldırgan ilk aşamada kendi düşük yetkili hesabıyla kimliğini doğruluyor, ikinci aşamada ise devreye başka bir kullanıcı adı sokabiliyor. Sistem ikinci aşamadaki kullanıcının yetkilerini yüklediği için, saldırgan admin gibi yüksek yetkili bir hesabın adını vererek o hesabın parolasını hiç bilmeden tam yetkili bir oturum açabiliyor. Ardından kendi hesabının yetkilerini de yükseltebiliyor.

Açığın kullanılması için saldırganın cihazda WinBox kullanabilen, düşük yetkili de olsa geçerli bir hesabının olması gerekiyor. Açığı Letonya’nın ulusal siber olaylara müdahale ekibi CERT.LV açıkladı. Saldırılarda kullanıldığına dair bir bilgi yok.

Etkilenen sürümler

Açık, RouterOS 7.0.0 ile 7.24.5 öncesi arasındaki bütün sürümleri etkiliyor. Düzeltme 7.24.5 kararlı sürümüyle geldi.

Önerilen önlemler

RouterOS kullanan cihazların 7.24.5 ya da daha yeni bir sürüme güncellenmesi gerekiyor. Ayrıca WinBox yönetim arayüzüne erişimin yalnızca güvenilen iç ağlarla sınırlanması, internetten doğrudan erişime kapatılması ve düşük yetkili hesapların gözden geçirilmesi yerinde olur.