Due vulnerabilità che riguardano MikroTik RouterOS sono state aggiunte dalla Cybersecurity and Infrastructure Security Agency statunitense al catalogo KEV, l’elenco delle falle per cui l’agenzia ha riscontrato prove di sfruttamento nel mondo reale. L’aggiornamento, pubblicato il 10 settembre 2026, coinvolge CVE-2026-67277 e CVE-2026-86060: due problemi distinti, ma entrambi relativi al sistema operativo impiegato sui dispositivi di rete MikroTik.
La prima, CVE-2026-67277, è classificata come una vulnerabilità di assenza di autenticazione per una funzione critica. La seconda, CVE-2026-86060, riguarda invece una gestione impropria dei delimitatori degli argomenti in un comando. CISA non ha diffuso, nel proprio avviso, dettagli tecnici aggiuntivi sulle campagne osservate, sui soggetti responsabili, sugli obiettivi o sulle modalità concrete con cui le falle vengono sfruttate. Il dato centrale dell’inserimento nel catalogo è però proprio l’esistenza di evidenze di exploit attivi.
Per amministratori e organizzazioni che utilizzano RouterOS, l’aggiornamento cambia il livello di urgenza della verifica. Una vulnerabilità pubblica può restare una voce nelle attività di manutenzione; la presenza nel Known Exploited Vulnerabilities Catalog indica che non va più trattata soltanto come un rischio teorico. La priorità diventa individuare i dispositivi interessati, soprattutto quelli esposti pubblicamente, applicare le indicazioni di mitigazione disponibili e valutare se possano essersi verificati accessi o compromissioni prima dell’intervento.
Che cosa segnala il catalogo KEV
Il KEV Catalog non è un inventario generale delle vulnerabilità note. Il suo criterio di inclusione è più selettivo: per essere presa in considerazione una falla deve avere un identificativo CVE, prove di sfruttamento e una guida di mitigazione sufficientemente chiara. Il catalogo serve quindi a indirizzare la correzione verso i difetti che presentano un rischio concreto e attuale, evitando che i team di sicurezza trattino ogni CVE con la stessa precedenza.
Nel caso di MikroTik, CISA ha inserito nello stesso aggiornamento due categorie di debolezza che possono assumere particolare rilievo su apparati di frontiera. Un problema di autenticazione mancante può interessare l’accesso a una funzione che dovrebbe essere protetta da una verifica delle credenziali o dei privilegi. L’errore nella neutralizzazione dei delimitatori degli argomenti di un comando riguarda invece il modo in cui un input viene interpretato dal sistema. Le definizioni ufficiali identificano la natura dei problemi, ma l’avviso CISA non consente di dedurre quali configurazioni siano vulnerabili, quale impatto operativo si produca su ogni dispositivo o se le due falle possano essere concatenate.
Questa distinzione conta anche nella risposta all’incidente. Non è corretto assumere, in assenza di elementi pubblici ulteriori, che ogni installazione RouterOS sia esposta allo stesso modo o che l’inserimento nel KEV equivalga alla conferma di una compromissione diffusa. Al tempo stesso, ignorare l’avviso perché mancano informazioni sulle campagne sarebbe un errore: la comunicazione dell’agenzia certifica che lo sfruttamento non è ipotetico.
Router e apparati esposti: perché la correzione va ordinata per rischio
I router occupano una posizione delicata nell’infrastruttura di rete: gestiscono traffico, collegamenti e accessi tra segmenti diversi. Per questo CISA richiama esplicitamente l’attenzione sugli asset pubblicamente esposti e sulle vulnerabilità che, dopo lo sfruttamento, possono consegnare il controllo totale dell’apparato. Non tutte le CVE presenti nel catalogo hanno necessariamente le stesse conseguenze, ma la direttiva federale statunitense invita a concentrare gli sforzi dove l’impatto è maggiore.
La Binding Operational Directive 26-04, citata dall’agenzia, impone alle agenzie civili dell’esecutivo federale degli Stati Uniti requisiti di gestione delle vulnerabilità basati sul rischio. In particolare, rafforza il ruolo del KEV nella pianificazione delle remediation e richiede di dare precedenza alle vulnerabilità catalogate che interessano beni esposti e permettono il controllo completo dopo l’exploit. La direttiva chiede inoltre di stabilire, in determinate circostanze, se un sistema sia stato compromesso prima dell’applicazione della correzione.
L’obbligo formale riguarda le Federal Civilian Executive Branch agencies, non le imprese italiane o europee. Il principio operativo, però, è applicabile anche fuori dal perimetro federale: un inventario affidabile degli apparati, la verifica dell’esposizione effettiva, la definizione di priorità e il controllo di eventuali segnali di intrusione sono passaggi più utili di una corsa indiscriminata a intervenire su ogni vulnerabilità disponibile.
Per chi gestisce una rete, il primo controllo è capire dove RouterOS sia in uso e quali dispositivi siano raggiungibili dall’esterno. Segue la consultazione delle indicazioni ufficiali di MikroTik per le versioni e le configurazioni coinvolte, poiché l’avviso di CISA non riporta né release corrette né workaround specifici. Qualora l’intervento comporti aggiornamenti o modifiche di configurazione, andrebbe inserito in una procedura che consideri continuità del servizio, backup e modalità di ripristino.
Non basta l’aggiornamento: serve verificare l’esposizione precedente
L’invito di CISA non si ferma alla remediation. La BOD 26-04 include aspettative minime per determinare quando debba essere verificata un’eventuale compromissione avvenuta prima della correzione. È un aspetto rilevante perché la semplice rimozione della vulnerabilità non ricostruisce ciò che potrebbe essere accaduto nel periodo in cui un asset era esposto.
Le fonti disponibili non segnalano indicatori di compromissione, firme di attacco o tracce specifiche da cercare per queste due CVE. Di conseguenza, non è possibile indicare controlli tecnici puntuali senza uscire dai fatti noti. Resta valida la necessità di coinvolgere i responsabili della sicurezza e della rete nel valutare log, configurazioni, accessi amministrativi e altri elementi disponibili secondo le procedure interne e le istruzioni del fornitore.
L’inserimento delle due falle arriva inoltre in una settimana di aggiornamenti ravvicinati del KEV. Il 4 settembre CISA aveva aggiunto CVE-2026-85046, una vulnerabilità di type confusion nel motore V8 di Google Chromium; l’8 e il 9 settembre erano stati pubblicati altri due avvisi, con quattro vulnerabilità ciascuno. La sequenza non stabilisce un legame tra i difetti né indica una campagna comune, ma mostra come il catalogo venga aggiornato con continuità quando emergono nuove evidenze di sfruttamento.
Per MikroTik e per gli amministratori dei suoi dispositivi, il prossimo passaggio dipenderà dalle informazioni tecniche e dalle mitigazioni rese disponibili dal produttore. CISA continuerà a integrare il KEV quando una vulnerabilità soddisfa i criteri previsti. Intanto CVE-2026-67277 e CVE-2026-86060 vanno considerate nella fascia delle attività prioritarie: non perché l’avviso renda noto ogni dettaglio dell’attacco, ma perché certifica che qualcuno le sta già usando.
