CVE CVE-2026-103903
Gravità HIGH · CVSS 3.1 8.8 · CVSS 4.0 8.7
Debolezza CWE-863
Versioni affette < 7.24.5
Versione correttiva 7.24.5, 7.25rc1
Sfruttata attivamente No, alla data di questo articolo
Advisory CISA nessuno
Pubblicata 2026-10-12

Che cos’è la vulnerabilità CVE-2026-103903?

La vulnerabilità consiste in un difetto di autorizzazione impropria (CWE-863) nel flusso di autenticazione WinBox. Un attaccante remoto autenticato con credenziali di un account a privilegi bassi può ottenere la policy di autorizzazione di un altro account esistente. La verifica della sfida e della prova EC-SRP di prima fase avviene usando l’account dell’attaccante, mentre il nome utente di seconda fase, fornito indipendentemente, viene utilizzato per installare i privilegi dell’account target. Specificando un account a privilegi più elevati, come admin, un utente a privilegi bassi può ottenere una sessione amministrativa completa senza conoscere la password dell’account target e usare quella sessione per aumentare i privilegi del proprio account.

Quali versioni di RouterOS sono vulnerabili?

Le versioni vulnerabili sono tutte quelle inferiori alla 7.24.5. Le versioni correttive disponibili sono la 7.24.5 e la 7.25rc1. La versione 7.25rc1 è una release di sviluppo (release candidate) e non deve essere installata in ambienti di produzione senza una valutazione specifica; le versioni stable precedenti alla 7.24.5 restano vulnerabili.

Il mio router è a rischio?

Un router è esposto se il servizio WinBox è attivo e raggiungibile da reti non fidate, sia tramite indirizzo IP sia tramite indirizzo MAC. Se l’accesso WinBox è limitato esclusivamente alla rete di amministrazione interna e gli account a privilegi bassi non sono esposti a utenti non fidati, il rischio è ridotto. Tuttavia, la presenza di account a privilegi bassi con accesso WinBox su una rete raggiungibile da esterni rende il router vulnerabile.

La vulnerabilità CVE-2026-103903 è sfruttata attivamente?

Alla data dell’articolo, non risulta che la vulnerabilità sia sfruttata attivamente. Non è presente nel catalogo KEV di CISA e ENISA non la segnala come sfruttata.

Come proteggere il router da CVE-2026-103903?

Aggiornare RouterOS alla versione 7.24.5 o superiore per applicare la correzione. In attesa dell’aggiornamento, limitare l’accesso WinBox (sia via IP sia via MAC) esclusivamente alla rete di amministrazione fidata e disabilitare l’accesso WinBox da reti non fidate. Verificare che non esistano account a privilegi bassi con accesso WinBox esposto a utenti non autorizzati.

Quali comandi RouterOS servono per mitigare CVE-2026-103903?

Mitigazione temporanea: servizio winbox

Il difetto riguarda Winbox, sia via IP sia via indirizzo MAC. Entrambi gli accessi vanno limitati alla rete di amministrazione.

/ip service print
# Winbox via IP solo dalla rete di gestione (sostituisci con la tua)
/ip service set winbox address=192.168.88.0/24
# Winbox via MAC: spegnilo, o limitalo a un'interface-list di gestione
/tool mac-server mac-winbox set allowed-interface-list=none

Aggiornare RouterOS

L'unica correzione definitiva è l'aggiornamento. Prima si salva la configurazione; l'installazione riavvia il router.

# 1. salva configurazione e backup
/export file=prima-aggiornamento
/system backup save name=prima-aggiornamento
# 2. scegli il canale (long-term o stable) e controlla la versione disponibile
/system package update set channel=stable
/system package update check-for-updates
# 3. installa: ATTENZIONE, il router si riavvia
/system package update install
# 4. dopo il riavvio, aggiorna anche il firmware (RouterBOOT) e riavvia di nuovo
/system routerboard upgrade

Domande frequenti

Qual è il punteggio CVSS di CVE-2026-103903?

Il punteggio CVSS v3.1 di CVE-2026-103903 è 8.8 (Alta), con vettore CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Il punteggio CVSS v4.0 è 8.7 (Alta).

Quale versione di RouterOS corregge CVE-2026-103903?

La versione stabile che corregge CVE-2026-103903 è la 7.24.5. La versione 7.25rc1 contiene anch’essa la correzione ma è una release di sviluppo e non è consigliata per ambienti di produzione senza valutazione specifica.

Basta disattivare WinBox per mitigare CVE-2026-103903?

Disattivare l’accesso WinBox da reti non fidate riduce l’esposizione, ma la mitigazione completa richiede l’aggiornamento alla versione 7.24.5 o superiore. Limitare l’accesso WinBox alla rete di amministrazione fidata è una misura di contenimento efficace in attesa dell’aggiornamento.

CVE-2026-103903 è nel catalogo KEV di CISA?

No, CVE-2026-103903 non è presente nel catalogo KEV di CISA alla data dell’articolo. Non risulta sfruttata attivamente né segnalata da ENISA come vulnerabilità sfruttata.

Fonti ufficiali