MikroTik sob ataque: falhas no RouterOS exigem atualização imediata

Se a sua empresa usa roteador MikroTik, este é um daqueles avisos que não dá para deixar para depois. Desde o começo de setembro, criminosos estão explorando falhas no RouterOS, o sistema dos equipamentos MikroTik, para assumir o controle total de roteadores sem precisar de senha. E o assunto continua quente: em 25 de setembro a agência americana de cibersegurança (CISA) incluiu mais uma falha do RouterOS na sua lista de vulnerabilidades com exploração confirmada.

A boa notícia é que a correção existe e é gratuita. A má notícia é que, para quem deixou o acesso SSH do roteador aberto para a internet, apenas atualizar pode não ser suficiente. Explicamos abaixo o que aconteceu e o que fazer, passo a passo.

O que aconteceu

O CERT Polska, equipe de resposta a incidentes da Polônia, identificou seis vulnerabilidades no RouterOS enquanto investigava ataques reais contra roteadores MikroTik. Duas delas, quando usadas em conjunto, formam uma cadeia de ataque que os pesquisadores batizaram de MikroTrick:

• CVE-2026-67276: uma falha na verificação de chaves do SSH permite que o invasor entre como um usuário existente do roteador sem ter a chave privada desse usuário.
• CVE-2026-86060: um nome de usuário manipulado no login SSH faz o sistema conceder privilégios de administrador.

Juntas, as duas falhas dão ao atacante controle completo do equipamento. Uma terceira falha, a CVE-2026-67277, afeta o serviço de teste de banda (bandwidth-test) e permite vazar dados da memória ou travar o roteador remotamente, também sem autenticação.

Segundo o CERT Polska, a exploração começou pelo menos em 2 de setembro de 2026, um dia antes de a MikroTik liberar as correções. Ou seja: quando a atualização saiu, os ataques já estavam acontecendo. E os ataques não pararam: em 25 de setembro a CISA acrescentou ao seu catálogo de vulnerabilidades exploradas mais uma falha do sistema, a CVE-2026-67279, também ligada ao acesso sem autenticação ao RouterOS.

Para ter ideia da escala, a Shadowserver Foundation contou pelo menos 122,5 mil equipamentos MikroTik com SSH acessível pela internet em uma única varredura de 24 horas, feita em 5 de setembro. Nem todos estão necessariamente vulneráveis, mas o número mostra como essa configuração arriscada é comum.

Quem está em risco

A própria MikroTik afirma que a maioria das configurações não está em risco. O perigo real está nos roteadores que deixam serviços de gerenciamento abertos para a internet, algo que acontece muito em pequenas e médias empresas, geralmente por praticidade: alguém liberou o acesso remoto para dar suporte e nunca mais fechou.

O impacto de um roteador comprometido vai muito além de ficar sem internet. Quem controla o roteador pode desviar tráfego, alterar DNS para páginas falsas, abrir túneis para dentro da rede interna, capturar dados e usar o equipamento como base para atacar outros alvos. Para a empresa, isso pode virar um incidente de segurança com dados pessoais, com todas as consequências previstas na LGPD.

Como saber se o seu roteador foi invadido

O CERT Polska e a MikroTik divulgaram sinais que ajudam a identificar um equipamento comprometido. Vale conferir com calma, principalmente se o SSH ficou aberto para a internet em setembro:

• Usuário desconhecido chamado "ops" com privilégios totais: foi o nome usado pelos atacantes nos casos observados.
• Registros no log como login failure for user -2 ou user added by ssh:-2@.
• Scripts, agendamentos ou regras que ninguém da sua equipe criou.
• Aviso "Flagged" depois da atualização: as versões corrigidas analisam a configuração na inicialização e marcam alterações suspeitas.

Se algum desses sinais aparecer, a recomendação do CERT Polska é tratar o equipamento como comprometido: isolar o roteador, guardar os logs antes de qualquer mudança e só então partir para o reset de fábrica e a reconfiguração. Simplesmente atualizar e seguir em frente deixa para trás o acesso que o invasor já criou.

O que fazer agora: checklist

1. Atualize o RouterOS para uma versão corrigida: 6.49.21 (linha 6), 7.23.4 (long-term) ou 7.24.2 (stable). Faça backup da configuração antes.
2. Feche o SSH, o WebFig e o Winbox para a internet. Libere apenas para IPs confiáveis ou, melhor ainda, acesse a administração só por VPN, como a própria MikroTik recomenda.
3. Desative o bandwidth-test se ele não for usado no dia a dia.
4. Revise usuários e scripts: apague contas desconhecidas e confira agendamentos, regras de firewall, NAT e DNS.
5. Troque todas as senhas e chaves de acesso ao roteador, principalmente se houver qualquer suspeita de invasão.
6. Ative o envio de logs para um servidor externo, assim um invasor não consegue apagar os rastros.
7. Crie uma rotina de atualização: roteador e firewall também precisam de manutenção periódica, assim como os computadores.

Por que roteador também precisa de cuidado

Muitas empresas tratam o roteador como um eletrodoméstico: instalou, funcionou, esqueceu. O problema é que ele é justamente o ponto que separa a rede interna da internet. Em 2026, os ataques a equipamentos de borda, como roteadores, firewalls e VPNs, têm se repetido mês após mês, e o caso MikroTrick mostra que o intervalo entre a descoberta de uma falha e os primeiros ataques pode ser de zero dias.

Na Nexum, trabalhamos com MikroTik no dia a dia e fazemos exatamente esse tipo de revisão: atualização segura do RouterOS, fechamento de portas de administração, acesso remoto por VPN, conferência de usuários e scripts e monitoramento contínuo. Com o Nexum Defense, a rede da sua empresa ganha acompanhamento constante, para que um alerta como este seja resolvido antes de virar incidente.

Resumo

• Falhas críticas no RouterOS (cadeia MikroTrick) estão sendo exploradas desde 2 de setembro de 2026 para tomar o controle de roteadores MikroTik.
• O risco maior é para quem deixa o SSH e outros serviços de gerenciamento abertos para a internet.
• As correções estão nas versões 6.49.21, 7.23.4 e 7.24.2. Em 25 de setembro, a CISA incluiu mais uma falha do RouterOS na lista de explorações confirmadas.
• Atualizar é obrigatório, mas também é preciso fechar o acesso externo e procurar sinais de invasão, como o usuário "ops".