Falhas críticas no SSH de roteadores MikroTik são exploradas por hackers
Duas vulnerabilidades graves no RouterOS, sistema operacional dos roteadores MikroTik, estão sendo exploradas por cibercriminosos para obter acesso remoto e assumir o controle completo dos equipamentos. Identificadas como CVE-2026-67276 e CVE-2026-86060, as falhas afetam o serviço SSH e podem permitir a invasão sem que o atacante precise conhecer a senha do administrador.
A fabricante já liberou atualizações para corrigir os problemas e recomenda que os responsáveis pela rede instalem o firmware mais recente o quanto antes. Outra medida considerada essencial é impedir que o SSH fique exposto diretamente à internet, restringindo o acesso apenas a endereços confiáveis, VPNs ou redes internas.
Como as vulnerabilidades permitem a invasão
A CVE-2026-67276 está relacionada à validação de chaves públicas usadas na autenticação SSH do RouterOS. De acordo com a análise do CERT Polska, um invasor que saiba o nome de usuário e conheça a chave pública associada a uma conta legítima pode criar uma chave alternativa e entrar no dispositivo sem ter acesso à chave privada original.
Na prática, o problema permite contornar uma etapa fundamental da autenticação. Uma vez conectado, o criminoso pode explorar outras configurações ou contas existentes para ampliar sua presença no roteador.
Já a CVE-2026-86060 envolve o processamento de nomes de usuário que começam com caracteres considerados inválidos durante o login SSH. Esse comportamento pode ser manipulado para elevar privilégios e obter permissões administrativas completas no RouterOS.
Com as duas falhas combinadas, o invasor pode modificar regras de firewall, alterar servidores DNS, criar novas contas, redirecionar tráfego, instalar componentes maliciosos e usar o roteador como ponto de entrada para outros sistemas da rede.
Mais de 122 mil dispositivos expostos
A Shadowserver Foundation identificou mais de 122 mil roteadores MikroTik com o serviço SSH acessível publicamente pela internet. Aproximadamente 700 desses equipamentos estavam localizados na Holanda.
Os números não significam que todos os dispositivos estejam vulneráveis ou tenham sido invadidos. Eles representam apenas roteadores que responderam a varreduras com a porta SSH exposta. Ainda assim, a quantidade demonstra a dimensão do risco, principalmente porque muitos administradores mantêm equipamentos acessíveis externamente sem necessidade operacional.
A exposição pública facilita varreduras automatizadas, tentativas de exploração e ataques em larga escala. Roteadores instalados em empresas, provedores, filiais e ambientes industriais podem se tornar alvos prioritários por concentrarem tráfego e informações sobre toda a infraestrutura.
Cronologia da descoberta
A MikroTik tomou conhecimento das atividades maliciosas e disponibilizou correções de firmware em 3 de setembro. Dois dias depois, o CERT Polska informou que havia encontrado seis vulnerabilidades no RouterOS durante uma pesquisa apoiada por inteligência artificial.
Entre os problemas identificados estavam as duas falhas críticas no SSH. Como as atualizações já estavam disponíveis, a entidade decidiu divulgar os detalhes técnicos. A avaliação foi de que a publicação reduziria o risco de pesquisadores ou criminosos deduzirem o funcionamento das falhas a partir da comparação entre versões corrigidas e antigas.
A divulgação, entretanto, também aumenta a urgência para administradores que ainda não atualizaram seus equipamentos. Depois que os detalhes técnicos se tornam conhecidos, ferramentas de exploração podem ser desenvolvidas e incorporadas rapidamente a campanhas automatizadas.
O que os administradores devem fazer
O primeiro passo é atualizar o RouterOS para uma versão corrigida e reiniciar o equipamento quando necessário. A atualização deve ser feita em todos os roteadores, inclusive aqueles que não apresentam sinais aparentes de ataque.
Também é importante revisar as regras de firewall e limitar o serviço SSH. O acesso administrativo não deve permanecer liberado para qualquer endereço da internet. Sempre que possível, ele deve ser permitido somente por VPN, por uma rede de gerenciamento separada ou por uma lista restrita de endereços IP.
Contas antigas, usuários desconhecidos e chaves SSH que não são mais utilizadas devem ser removidos. As chaves válidas precisam ser revisadas, e credenciais administrativas devem ser substituídas caso exista qualquer suspeita de comprometimento.
Outra recomendação é desativar serviços de gerenciamento que não sejam indispensáveis. Reduzir a superfície de ataque diminui as oportunidades para invasores e facilita a identificação de comportamentos anormais.
Como procurar sinais de comprometimento
Após instalar a atualização, os administradores devem verificar os registros do sistema, a lista de usuários, as chaves autorizadas e as alterações recentes na configuração. Mudanças em regras de firewall, servidores DNS, rotas, scripts ou tarefas agendadas podem indicar que o roteador foi manipulado.
A MikroTik adicionou um mecanismo de alerta que registra nos logs o status “Flagged status” quando há evidências de exploração após a instalação da correção. Esse aviso deve ser tratado como um indicador de possível invasão e exige investigação imediata.
A ausência do alerta, contudo, não comprova que o equipamento está seguro. Registros podem ter sido apagados, a atividade pode não ter sido detectada pelo mecanismo ou o invasor pode ter utilizado outro método de acesso.
Também vale comparar a configuração atual com cópias conhecidas como confiáveis. Alterações inesperadas em DNS são especialmente preocupantes, pois podem permitir o redirecionamento de usuários para páginas falsas, campanhas de phishing ou servidores controlados por criminosos.
Medidas adicionais de proteção
Organizações devem monitorar conexões de saída dos roteadores e procurar tráfego para endereços desconhecidos, picos incomuns de comunicação ou tentativas recorrentes de conexão. O equipamento também pode ser incluído em botnets e utilizado para ataques contra terceiros, mineração clandestina ou varreduras de rede.
A segmentação é outra barreira importante. O roteador não deve oferecer acesso irrestrito a servidores críticos, sistemas de autenticação ou dispositivos administrativos. Redes de gerenciamento separadas reduzem o impacto caso o equipamento seja comprometido.
Em ambientes corporativos, recomenda-se registrar alterações de configuração, centralizar logs e configurar alertas para novos usuários, mudanças de credenciais, abertura de portas e modificações em regras de firewall. Esses controles ajudam a detectar ações que poderiam passar despercebidas em uma análise manual.
Se houver indícios de invasão, o dispositivo deve ser isolado, os arquivos de configuração preservados e as credenciais utilizadas nele substituídas. Restaurar apenas um backup antigo sem investigar a origem do incidente pode deixar mecanismos de persistência ativos ou repetir configurações inseguras.
A atualização do RouterOS deve ser acompanhada por uma revisão completa da postura de segurança. Corrigir a falha é indispensável, mas manter o SSH exposto, conservar contas abandonadas e não monitorar os logs pode deixar o ambiente vulnerável a novos ataques.