Cadeia de falhas permite controle administrativo
Atacantes estão explorando uma combinação de duas vulnerabilidades no MikroTik RouterOS para assumir o controle de dispositivos cujo serviço SSH está exposto à internet. O CERT da Polônia chamou a cadeia de exploração de MikroTrick e informou que ela está em exploração ativa.
A CVE-2026-67276 é uma falha de contorno de autenticação SSH causada pela validação incompleta de chaves públicas RSA. De acordo com a descrição, alguém que conheça um nome de usuário e o módulo público da chave desse usuário pode criar uma chave diferente e efetuar login sem a chave privada legítima.
A segunda vulnerabilidade, CVE-2026-86060, é uma falha de escalonamento de privilégios no SSH. Por meio de um nome de usuário especialmente elaborado, o invasor pode manipular a sessão SSH e obter privilégios administrativos completos.
Atualizações corrigem falhas e incluem detecção de indícios
A MikroTik corrigiu as vulnerabilidades nas versões RouterOS 7.25beta3, 7.24.2, 7.23.4 e 6.49.21, lançadas em 3 de setembro. O CERT da Polônia validou as correções.
As atualizações também incluem um mecanismo que procura, na inicialização, sinais conhecidos de alterações não autorizadas na configuração. Quando encontra esses sinais, o recurso desabilita entradas maliciosas e registra um alerta crítico.
O CERT ressalta, porém, que a ausência desse marcador não assegura que o roteador não tenha sido comprometido. A fabricante afirmou que nem todas as configurações são afetadas, sem detalhar quais, para dar tempo de atualização aos usuários.
Há uma terceira falha no serviço bandwidth-test
O CERT também destacou a CVE-2026-67277, que afeta o serviço bandwidth-test do RouterOS. A falha pode permitir que atacantes não autenticados obtenham vazamento de memória do kernel ou provoquem travamento ou reinicialização remota do roteador.
Em 5 de setembro, havia 122.500 dispositivos MikroTik com interface SSH exposta, conforme dados fornecidos pela The ShadowServer Foundation. O total de equipamentos efetivamente vulneráveis à cadeia MikroTrick não foi determinado.
Prioridades para a resposta das empresas
Como medida recomendada pelo CERT da Polônia, organizações que suspeitem de comprometimento devem isolar o roteador, preservar logs e a configuração, restaurar o equipamento ao padrão de fábrica e reconstruí-lo a partir de uma configuração confiável. A orientação inclui trocar senhas, chaves e outros segredos.
Para equipamentos que não possam ser atualizados imediatamente, a recomendação é restringir ou desabilitar o acesso externo a SSH, WWW/WWW-SSL e bandwidth-test. O CERT também orienta evitar os clientes SSH integrados e conexões TLS de saída em redes não confiáveis.
Editorialmente, a prioridade operacional é identificar quais roteadores mantêm esses serviços acessíveis por redes públicas, aplicar as versões corrigidas quando possível e tratar sinais de alteração não autorizada como evento que exige investigação.