MikroTik RouterOS’ta WinBox açığı düşük yetkili hesabı yöneticiye çeviriyor

MikroTik, RouterOS’un WinBox yönetim arayüzündeki yetkilendirme hatasını kapatan bir güncelleme yayınladı. CVE-2026-103903 olarak kayıtlara geçen açık, CVSS 3.1 ölçeğinde 8.8, CVSS 4.0 ölçeğinde 8.7 puanla yüksek seviyede.

Kayda göre hata, WinBox oturumundaki iki aşamalı kimlik doğrulamanın parçalarının farklı hesaplara uygulanmasından kaynaklanıyor (CWE-863, hatalı yetkilendirme). İlk aşamadaki EC-SRP meydan okuması ve kanıtı saldırganın kendi hesabıyla doğrulanıyor; ikinci aşamada ayrıca gönderilen kullanıcı adı ise hedef hesabın yetkilerini yüklemek için kullanılıyor. Bunun sonucunda düşük yetkili ama WinBox kullanma izni olan bir kullanıcı, ikinci aşamada admin gibi daha yüksek yetkili bir hesabın adını vererek o hesabın parolasını bilmeden tam yönetici oturumu açabiliyor. Aynı oturum üzerinden kendi hesabının yetkilerini de kalıcı olarak artırabiliyor.

Hangi sürümler etkileniyor

Etkilenen aralık RouterOS 7.0.0’dan 7.24.5 öncesine kadar uzanıyor. Düzeltme, 1 Ekim 2026’da kararlı kanalda yayınlanan 7.24.5 sürümünde yer alıyor; 7.25rc1 sürümü ise etkilenenler arasında değil. Yani 7.24.5 veya sonrasına güncelleme yapmak açığı kapatıyor.

Kimler risk altında

Açık kimlik doğrulamasız değil: saldırganın router üzerinde geçerli bir hesabı ve bu hesabın WinBox kullanma yetkisi olması gerekiyor. Bu yüzden risk, misafir ya da operatör hesaplarının ortak kullanıldığı, parolaların zayıf seçildiği kurulumlarda daha yüksek. MikroTik cihazları ev ve küçük ofislerde yaygın kullanılıyor ve WinBox arayüzü varsayılan olarak 8291 numaralı TCP portundan hizmet veriyor. Yönetim arayüzünün internete açık bırakıldığı kurulumlarda ise saldırganın işi kolaylaşıyor.

Ne yapmalı

RouterOS’u 7.24.5 veya daha yeni bir sürüme güncelleyin. WinBox portunu doğrudan internete açmayın, yönetimi yerel ağla ya da VPN üzerinden sınırlayın. Kullanılmayan hesapları silin, kalan hesapların parolalarını güçlendirin ve her hesabın yalnızca işini görecek yetkiye sahip olmasına dikkat edin. Açık, Letonya CERT (CERT.LV) koordinasyonunda bildirildi ve düzeltme üreticinin sürüm notlarında yayınlandı.

Kaynak: NVD · CVE-2026-103903