-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in MikroTik RouterOS
Advisory ID     : NCSC-2026-0345
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2026-67276, CVE-2026-67277, CVE-2026-86060
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Neutralization of Argument Delimiters in a
                  Command ('Argument Injection')
                  Integer Underflow (Wrap or Wraparound)
                  Missing Authentication for Critical Function
                  Improper Verification of Cryptographic Signature
Uitgiftedatum   : 20260908
Toepassing      : MikroTik RouterOS
Versie(s)       :
Platform(s)     :

Beschrijving
   MikroTik heeft meerdere kwetsbaarheden verholpen in RouterOS.

   De eerste kwetsbaarheid betreft een fout in de SSH-
   authenticatiemechanisme waarbij de exponent van RSA-sleutels niet
   werd geverifieerd. Hierdoor kunnen aanvallers RSA-handtekeningen
   vervalsen en ongeautoriseerde SSH-toegang verkrijgen. De tweede
   kwetsbaarheid betreft een probleem met gebruikersnamen die beginnen
   met een verboden teken, waardoor de trusted policy mask kan worden
   gemanipuleerd en privilege escalation mogelijk is binnen het SSH-
   loginproces. De derde kwetsbaarheid maakt het mogelijk voor niet-
   geauthenticeerde clients om een IPv4 UDP-test te starten die door
   onjuiste verwerking van pakketten in de kernel kan leiden tot kernel
   restarts, wat de beschikbaarheid van het systeem beïnvloedt.
   CERT Polen geeft aan actief misbruik te hebben waargenomen, gericht
   op routers waarbij de SSH service publiek toegankelijk is. In deze
   gevallen zijn meerdere van bovenstaande kwetsbaarheden gecombineerd
   om volledige controle over de getroffen routers te verkrijgen. Het is
   goed gebruik om SSH toegang niet open te stellen aan het internet,
   maar af te schermen via een VPN en/of whitelist.

Mogelijke oplossingen
   MikroTik heeft updates uitgebracht in RouterOS versies 6.49.21,
   7.23.4 en 7.24.2 om deze kwetsbaarheden te verhelpen. Zie bijgevoegde
   referenties voor meer informatie.

   Referenties:
      Reference
      https://cert.pl/en/posts/2026/09/vulnerabilities-in-mikrotik-
      routeros-actively-exploited/

      Reference
      https://mikrotik.com/supportsec/september-2026-vulnerability/

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=lzO3
-----END PGP SIGNATURE-----