Hackers exploram falhas críticas no SSH de roteadores MikroTik
Duas vulnerabilidades graves no RouterOS, sistema operacional utilizado pelos roteadores MikroTik, estão sendo exploradas ativamente por criminosos para obter controle remoto dos equipamentos. Identificadas como CVE-2026-67276 e CVE-2026-86060, as falhas afetam o serviço SSH e podem permitir que um invasor assuma privilégios administrativos sem apresentar a autenticação esperada.
A MikroTik já liberou atualizações de firmware para corrigir os problemas e recomenda que os administradores instalem os pacotes imediatamente. Outra medida considerada essencial é impedir que o SSH fique acessível diretamente pela internet, restringindo o gerenciamento a redes internas, VPNs ou endereços IP previamente autorizados.
Como as vulnerabilidades funcionam
A CVE-2026-67276 está relacionada à validação de chaves públicas usadas no processo de autenticação SSH do RouterOS. De acordo com as informações divulgadas pelo CERT Polska, um atacante que conheça o nome de usuário e a chave pública associada a uma conta legítima pode elaborar uma chave alternativa e tentar acessar o roteador sem possuir a chave privada original.
O segundo problema, registrado como CVE-2026-86060, envolve o tratamento de nomes de usuário iniciados por caracteres que não deveriam ser aceitos durante o login SSH. A falha pode ser explorada para elevar privilégios e transformar um acesso limitado em controle administrativo completo do dispositivo.
Quando combinadas, as vulnerabilidades representam um risco especialmente elevado. Um roteador comprometido pode ser usado para alterar regras de firewall, redirecionar tráfego, capturar credenciais, modificar configurações de DNS, criar contas ocultas e estabelecer uma porta de entrada permanente para outros ataques.
Mais de 122 mil dispositivos expostos
A Shadowserver Foundation identificou mais de 122 mil roteadores MikroTik com o serviço SSH acessível publicamente pela internet. Aproximadamente 700 desses equipamentos estavam localizados na Holanda. A quantidade não significa que todos os dispositivos estejam vulneráveis ou tenham sido invadidos, mas revela a dimensão da superfície de ataque disponível.
Manter a porta SSH aberta não implica, por si só, que o roteador esteja comprometido. Porém, quando o equipamento não foi atualizado e aceita conexões de qualquer origem, a probabilidade de exploração aumenta consideravelmente, sobretudo diante da existência de ataques em andamento.
Divulgação e correções
A MikroTik tomou conhecimento das atividades maliciosas e publicou as correções de firmware em 3 de setembro. Dois dias depois, o CERT Polska informou que havia encontrado seis vulnerabilidades no RouterOS durante uma análise apoiada por inteligência artificial. Entre elas estavam as duas falhas críticas relacionadas ao mecanismo SSH.
A agência polonesa optou por revelar os detalhes técnicos depois que as atualizações já estavam disponíveis. A decisão levou em conta o risco de que pesquisadores ou criminosos identificassem os problemas ao comparar as versões corrigidas do sistema.
Administradores devem verificar a versão instalada, aplicar a atualização correspondente ao modelo do roteador e reiniciar o equipamento conforme as instruções da fabricante. Em ambientes corporativos, a correção deve ser testada rapidamente, mas sem adiar a instalação por períodos prolongados, principalmente em dispositivos expostos à internet.
Como verificar sinais de comprometimento
Após a atualização, a MikroTik adicionou um mecanismo de alerta. Caso sejam encontradas evidências de exploração, o roteador poderá registrar nos logs o status “Flagged status”. O aviso deve ser tratado como um indicador de possível comprometimento e exige investigação imediata.
É importante lembrar que a ausência dessa mensagem não comprova que o dispositivo esteja seguro. Um invasor pode ter apagado registros, utilizado técnicas que não acionam o alerta ou comprometido o roteador antes da atualização sem deixar evidências claras no log.
Além do status indicado pela fabricante, a equipe responsável deve procurar:
– contas de usuário desconhecidas ou recentemente criadas;
– alterações inesperadas em regras de firewall e NAT;
– mudanças nos servidores DNS configurados;
– scripts, tarefas agendadas ou arquivos que não pertencem à administração;
– conexões de saída para endereços ou portas incomuns;
– reinicializações, mudanças de configuração e logins fora do horário normal;
– consumo anormal de CPU, memória ou banda;
– redirecionamentos suspeitos de tráfego interno.
Os registros devem ser exportados para um servidor externo sempre que possível. Dessa forma, mesmo que o atacante altere ou apague os logs locais, a organização ainda poderá consultar uma cópia independente para reconstruir a atividade ocorrida.
Medidas recomendadas para reduzir o risco
A primeira providência é fechar o acesso SSH pela interface de internet. Quando o gerenciamento remoto for indispensável, o serviço deve ficar limitado a uma VPN, a uma rede de administração separada ou a uma lista restrita de endereços confiáveis.
Também é recomendável desativar contas que não são utilizadas, remover usuários antigos, adotar senhas longas e exclusivas e utilizar autenticação por chave somente quando a configuração estiver corretamente validada. A administração deve evitar contas compartilhadas, pois elas dificultam a identificação do responsável por cada alteração.
As configurações do roteador precisam ser revisadas depois da atualização. Corrigir o sistema não desfaz mudanças feitas durante uma invasão. Por isso, regras de firewall, rotas, DNS, usuários, scripts e serviços habilitados devem ser comparados com um inventário confiável ou com uma configuração conhecida como íntegra.
Em caso de suspeita concreta, o equipamento não deve ser simplesmente reiniciado e devolvido à operação. O ideal é preservar os logs, registrar as configurações atuais, coletar evidências e avaliar a restauração para uma versão limpa. Senhas administrativas e credenciais que possam ter passado pelo roteador também devem ser trocadas.
Proteção contínua
O episódio reforça que roteadores e dispositivos de borda precisam receber o mesmo nível de atenção dedicado a servidores e estações de trabalho. Eles controlam o fluxo de dados da rede e, quando são comprometidos, podem permitir ataques silenciosos contra vários sistemas internos.
Organizações devem manter inventário atualizado dos equipamentos, acompanhar versões do RouterOS, monitorar portas expostas e estabelecer uma rotina de revisão de configurações. Varreduras periódicas ajudam a identificar serviços publicados por engano, enquanto alertas de login e alterações administrativas permitem agir antes que o incidente alcance maiores proporções.
A instalação do firmware corrigido é indispensável, mas não deve ser considerada suficiente. A combinação entre atualização, redução da exposição do SSH, monitoramento dos logs e investigação de alterações suspeitas é o caminho mais seguro para diminuir os impactos dessas falhas e impedir que um roteador vulnerável se transforme em ponto de entrada para toda a rede.