CVE CVE-2026-89035
Gravità HIGH · CVSS 3.1 7.4 · CVSS 4.0 9.1
Debolezza CWE-613
Versioni affette <= 7.23.6, <= 7.24.5
Versione correttiva non ancora comunicata
Sfruttata attivamente No, alla data di questo articolo
Advisory CISA nessuno
Pubblicata 2026-10-21

Che cos’è la vulnerabilità CVE-2026-89035?

CVE-2026-89035 è una vulnerabilità di replay dei token di sessione nell’interfaccia WebFig che consente di aggirare l’autenticazione riutilizzando token catturati in nuove sessioni ECDH. La funzione makeSessionKey in libucrypto.so genera i token usando sali fissi senza incorporare input specifici del canale o della sessione, e il servizio utente valida i token contro lo store di login senza verificare il contesto del canale. Questo permette ai token rubati di garantire un accesso amministrativo persistente fino alla pulizia esplicita dello store dei token. La vulnerabilità estende l’impatto di CVE-2025-61481, che aveva identificato l’esposizione a livello di trasporto senza una correzione corrispondente.

Quali versioni di RouterOS sono vulnerabili?

Le versioni vulnerabili sono tutte quelle fino a 7.23.6 e fino a 7.24.5. La versione correttiva non è ancora comunicata.

Il mio router è a rischio?

Un router è a rischio se il servizio WebFig è attivo e raggiungibile da reti non fidate. Se non utilizzi WebFig, il servizio www dovrebbe essere spento. Se lo utilizzi, deve essere raggiungibile solo dalla rete di amministrazione fidata.

La vulnerabilità CVE-2026-89035 è sfruttata attivamente?

Alla data dell’articolo, non risulta sfruttata. CISA non la include nel catalogo KEV e ENISA non la segnala come sfruttata.

Come proteggere il router da CVE-2026-89035?

Poiché non è ancora disponibile una versione correttiva stabile, la mitigazione principale consiste nel limitare l’accesso al servizio WebFig. Disattiva il servizio www se non lo utilizzi. Se lo utilizzi, assicurati che sia raggiungibile solo dalla rete di amministrazione fidata e non da reti esterne o non fidate. Monitora i log di accesso per eventuali tentativi di autenticazione anomali.

Quali comandi RouterOS servono per mitigare CVE-2026-89035?

Mitigazione temporanea: servizio www

Il difetto riguarda il servizio web di gestione (WebFig). Se non lo usi va spento; se lo usi deve essere raggiungibile solo dalla rete di amministrazione.

# quali servizi di gestione sono attivi e da dove sono raggiungibili
/ip service print
# se WebFig non serve: spegnilo
/ip service set www disabled=yes
/ip service set www-ssl disabled=yes
# se serve: limitalo alla rete di gestione (sostituisci con la tua)
/ip service set www address=192.168.88.0/24
/ip service set www-ssl address=192.168.88.0/24

Aggiornare RouterOS

L'unica correzione definitiva è l'aggiornamento. Prima si salva la configurazione; l'installazione riavvia il router.

# 1. salva configurazione e backup
/export file=prima-aggiornamento
/system backup save name=prima-aggiornamento
# 2. scegli il canale (long-term o stable) e controlla la versione disponibile
/system package update set channel=stable
/system package update check-for-updates
# 3. installa: ATTENZIONE, il router si riavvia
/system package update install
# 4. dopo il riavvio, aggiorna anche il firmware (RouterBOOT) e riavvia di nuovo
/system routerboard upgrade

Domande frequenti

CVE-2026-89035 richiede autenticazione per essere sfruttata?

No, CVE-2026-89035 può essere sfruttata senza autenticazione iniziale, poiché consente di aggirare l’autenticazione riutilizzando token di sessione già validi.

Qual è il punteggio CVSS di CVE-2026-89035?

Il punteggio CVSS v3.1 di CVE-2026-89035 è 7.4 (HIGH), mentre il punteggio CVSS v4.0 è 9.1 (CRITICAL).

Basta disattivare WebFig per mitigare CVE-2026-89035?

Sì, disattivare il servizio WebFig elimina l’esposizione a CVE-2026-89035, poiché la vulnerabilità riguarda specificamente l’interfaccia web di gestione.

CVE-2026-89035 è nel catalogo KEV di CISA?

No, CVE-2026-89035 non è presente nel catalogo KEV di CISA alla data dell’articolo.

Fonti ufficiali