MikroTik RouterOS’un tarayıcıdan yönetim sağlayan arayüzü WebFig’te kritik bir oturum açığı bulundu. CVE-2026-89035 kodlu açık, CVSS 4.0 ölçeğinde 9.1 puanla kritik seviyede. Açığın özü, daha önce ele geçirilmiş bir oturum belirtecinin (token) yeni bir bağlantıda yeniden kullanılabilmesi: saldırganın şifreyi bilmesi gerekmiyor.
Oturum belirteci yeni bağlantıda da geçerli sayılıyor
VulnCheck’in yayımladığı bültene göre sorun, libucrypto.so içindeki makeSessionKey fonksiyonunda başlıyor. Belirteçler sabit tuzlar (salt) kullanılarak üretiliyor ve oturuma ya da bağlantı kanalına özgü bir girdi hesaba katılmıyor. Yönetici oturumlarını doğrulayan servis de belirteci kanal bağlamını kontrol etmeden, giriş deposundaki kayıtla karşılaştırıyor. Bu iki eksik bir araya gelince, ağ üzerinden yakalanan geçerli bir WebFig oturum belirteci yeni bir ECDH oturumunda tekrar oynatılabiliyor ve yönetici yetkisiyle arayüze girilebiliyor. Erişim, belirteç deposu elle temizlenene kadar sürüyor.
Bülten, açığın CVE-2025-61481’in etkisini genişlettiğini belirtiyor. O kayıt taşıma katmanındaki maruziyeti tanımlıyordu ama kalıcı bir düzeltme getirmemişti. Yeni açık, aynı zayıflığın kimlik doğrulamayı tamamen atlatacak biçimde kullanılmasına imkân veriyor. Bülten, açığı Valentin Lobstein’in (Chocapikk) bildirdiğini kaydediyor.
Hangi sürümler etkileniyor
Etkilenen sürümler: RouterOS 7.24.0 ile 7.24.5 arası ve 7.23.6 ile daha eski 7.x sürümleri. Yani son birkaç ayda güncelleme yapmamış hemen her RouterOS kurulumu risk altında. Açık, WebFig arayüzünün ağdan erişilebilir olmasını gerektiriyor; arayüz yalnız yerel ağdan açıksa saldırganın önce o ağa sızması ya da trafiği izlemesi gerekiyor. Bu yüzden NVD kaydı hâlâ “inceleme sürüyor” (Awaiting Analysis) durumunda; FIRST’in EPSS modeli de 30 gün içinde sömürülme olasılığını yüzde 0,27 gibi düşük bir düzeyde görüyor.
Açık şu an CISA’nın aktif sömürülen açıklar (KEV) listesinde değil. Yani kampanyalarda kullanıldığına dair kanıt yok. Ancak oturum belirtecinin yeniden oynatılması, log tarafında normal bir yönetici girişinden ayırt edilmesi zor bir yöntem; bu da açığı ileride sömürü listelerine girmeye aday hale getiriyor.
Düzeltme tarafında durum net değil
MikroTik, 22 Ekim 2026’da RouterOS 7.25 sürümünü yayımladı. Sürümün resmî değişiklik listesinde iki güvenlik kaydı var: CVE-2026-31431 ve CVE-2026-67280. Ancak listede CVE-2026-89035’e ya da WebFig oturum belirteci sorununa dair bir madde bulunmuyor. Bazı üçüncü taraf yazılarda düzeltmenin 7.24.6 sürümüyle geldiği söyleniyor; oysa MikroTik’in indirme sunucusunda 7.24.6 numaralı bir sürüm yok. Bu nedenle açığın hangi sürümde kapandığı henüz üretici tarafından doğrulanmış değil. RouterOS güncellemelerini körlemesine uygulamak yerine, 7.25’i önce test cihazında denemek mantıklı.
Bu arada ne yapmalı
En etkili adım WebFig’i internete kapatmak. IP > Services menüsünden webfig satırındaki adresi yerel ağla sınırlayın, dışarıdan erişim gerekiyorsa VPN üzerinden bağlanın. WebFig’i hiç kullanmıyorsanız servisi tamamen kapatın; WinBox ve SSH yönetim için yeterli. Arayüzü açık tutmak zorundaysanız yönetici hesaplarında güçlü şifre ve iki adımlı doğrulama kullanın.
Şüpheli bir yönetici oturumu gördüyseniz RouterOS’u yeniden başlatmak ve yönetici şifrelerini değiştirmek, belirteç deposunu temizlemenin en pratik yolu. Log kayıtlarında beklenmeyen kaynak IP’lerden gelen WebFig oturumlarını kontrol edin; etkin oturumları Users menüsünden sonlandırın. Aynı açığın benzeri kurumsal cihazlarda da görüldüğü için, yönlendirici yönetim arayüzlerinin internete açık olup olmadığını yılda bir değil, her güncelleme sonrası gözden geçirmek gerekiyor.
Deneyimini paylaş
Bir sorunun, farklı bir çözümün veya eklemek istediğin bir notun var mı? Giriş yapmadan da yazabilirsin.