CVE CVE-2026-67276
Gravità HIGH · CVSS 3.1 8.1 · CVSS 4.0 9.2
Debolezza CWE-347
Versioni affette < 7.23.4, < 7.24.2
Prima versione non vulnerabile 7.23.4, 7.24.2 (per ramo)
Sfruttata attivamente Non in KEV di CISA; ENISA la segnala come sfruttata dal 2026-09-05
Advisory CISA nessuno
Pubblicata 2026-09-05
Fonti in disaccordo known_exploited: CISA KEV → False, ENISA EUVD → True

Che cos’è la vulnerabilità CVE-2026-67276?

La vulnerabilità consiste in una verifica incompleta della firma crittografica durante l’autenticazione SSH. RouterOS controlla il tipo di chiave e il modulo, ma omette il confronto dell’esponente. Poiché la verifica della firma utilizza la chiave fornita dal client, un attaccante che conosce il modulo di una chiave RSA autorizzata può fornire una chiave con esponente pari a uno, forgiare una firma valida e aprire un canale di comandi SSH come utente target senza disporre della chiave privata.

Quali versioni di RouterOS sono vulnerabili?

Le versioni vulnerabili sono tutte quelle 7.x inferiori a 7.23.4 e 7.24.2. Le versioni correttive sono 7.23.4 (Long-term) e 7.24.2 (Stable).

Il mio router è a rischio?

Un router è esposto se il servizio SSH è attivo e raggiungibile da reti non fidate. Se l’accesso SSH è limitato alla sola rete di amministrazione interna o se il servizio è disattivato, il rischio di sfruttamento remoto è ridotto.

La vulnerabilità CVE-2026-67276 è sfruttata attivamente?

CISA non include questa vulnerabilità nel catalogo KEV, mentre ENISA la segnala come sfruttata a partire dal 5 settembre 2026. Le fonti citate riportano un disaccordo su questo punto: CISA indica che non risulta sfruttata, ENISA indica che lo è.

Come proteggere il router da CVE-2026-67276?

Aggiornare RouterOS alla versione 7.23.4 (Long-term) o 7.24.2 (Stable). In alternativa, limitare l’accesso al servizio SSH alle sole reti fidate tramite regole firewall o disattivarlo se non necessario.

Quali comandi RouterOS servono per mitigare CVE-2026-67276?

Mitigazione temporanea: servizio ssh

Il difetto riguarda il server SSH del router. Va reso raggiungibile solo dalla rete di amministrazione, o spento se non lo usi.

/ip service print
# se SSH non serve
/ip service set ssh disabled=yes
# se serve: limitalo alla rete di gestione (sostituisci con la tua)
/ip service set ssh address=192.168.88.0/24

Aggiornare RouterOS

L'unica correzione definitiva è l'aggiornamento. Prima si salva la configurazione; l'installazione riavvia il router.

# 1. salva configurazione e backup
/export file=prima-aggiornamento
/system backup save name=prima-aggiornamento
# 2. scegli il canale (long-term o stable) e controlla la versione disponibile
/system package update set channel=stable
/system package update check-for-updates
# 3. installa: ATTENZIONE, il router si riavvia
/system package update install
# 4. dopo il riavvio, aggiorna anche il firmware (RouterBOOT) e riavvia di nuovo
/system routerboard upgrade

Domande frequenti

Qual è il punteggio CVSS di CVE-2026-67276?

Il punteggio CVSS v3.1 assegnato da NVD è 8.1 (HIGH). Il punteggio CVSS v4.0 assegnato da CERT.PL è 9.2 (CRITICAL).

CVE-2026-67276 richiede autenticazione per essere sfruttata?

No, la vulnerabilità non richiede privilegi precedenti. L’attaccante può sfruttare il difetto senza autenticarsi, fornendo una chiave pubblica con esponente uno e forgiando la firma.

Basta disattivare SSH per mitigare CVE-2026-67276?

Sì, disattivare il servizio SSH o renderlo inaccessibile da reti non fidate elimina il vettore di attacco remoto descritto nella vulnerabilità.

Qual è la classificazione CWE di CVE-2026-67276?

La vulnerabilità è classificata come CWE-347: Improper Verification of Cryptographic Signature.

Fonti ufficiali