CVE-2026-86060 в RouterOS: захват админ-доступа без учётных данных

CERT Polska разобрала уязвимость CVE-2026-86060 в MikroTik RouterOS: инъекция аргументов в login-хелпер позволяет без аутентификации получить консоль с полными правами. Исправление вошло в релизы RouterOS за сентябрь 2026 года, в сети найдено 9559 устройств с доступным по SSH RouterOS.

• Уязвимость CVE-2026-86060 — инъекция аргументов в login-хелпер RouterOS
• Имя пользователя вида -2 заставляет процесс читать данные атакующего
• Маска 655358 даёт полные права группы RouterOS
• Исправлено в релизах RouterOS за сентябрь 2026 года