MikroTik RouterOS: falha crítica no SSH sob ataque ativo

Uma cadeia de duas falhas com CVSS 9,2 no serviço SSH do RouterOS está sendo explorada desde pelo menos 2 de setembro para assumir controle total de roteadores MikroTik com SSH exposto à internet, sem precisar de credenciais válidas. O CERT Polska batizou o ataque de MikroTrick e confirmou a exploração ativa em 5 de setembro; a MikroTik já publicou correção em 3 de setembro, mas a Shadowserver Foundation contou 122.500 dispositivos MikroTik com SSH acessível pela internet em uma varredura de 24 horas feita em 5 de setembro — sem checar se rodam versão vulnerável.

Quem é afetado

A falha atinge RouterOS 6 em versões anteriores a 6.49.21 e RouterOS 7 em versões anteriores a 7.23.4 ou 7.24.2, conforme o canal de atualização. O pré-requisito para o ataque é ter o serviço SSH acessível a partir da internet: no padrão de fábrica, o RouterOS bloqueia essa porta externamente, então o risco recai sobre quem abriu SSH manualmente para gerência remota. Usuários domésticos com configuração padrão não estão sob risco imediato, mas a MikroTik recomenda atualizar todos os dispositivos mesmo assim.

Como funciona o ataque MikroTrick

O CERT Polska identificou seis vulnerabilidades no RouterOS; duas delas, encadeadas, dão controle administrativo completo sem autenticação:

• CVE-2026-67276 (CVSS 9,2) — o RouterOS não comparava a chave pública RSA completa de um usuário durante a autenticação SSH, só o módulo público. Quem conhece o nome de usuário e esse módulo consegue forjar uma chave diferente e logar sem ter a chave privada correspondente.
• CVE-2026-86060 (CVSS 9,2) — o tratamento de nomes de usuário iniciados por um caractere não permitido no login SSH permitia elevar privilégios; a sessão resultante tem controle administrativo total do sistema.

Uma terceira falha, CVE-2026-67277 (CVSS 8,8), no serviço bandwidth-test, permite que uma conexão não autenticada alcance um estado reservado a usuários logados e, combinada a vazamento de dados não inicializados do buffer de pacotes, pode expor memória do kernel ou derrubar o dispositivo. Outras três falhas de severidade menor afetam o cliente SSH, o tratamento de certificados X.509 e a interface WebFig.

Como saber se o roteador foi comprometido

O CERT Polska rastreou os ataques bem-sucedidos confirmados — incluindo a criação de uma conta “ops” com privilégios elevados — até o endereço IP 82.192.72.4, ativo desde pelo menos 2 de setembro. Um segundo endereço, 103.102.31.18, foi usado em tentativas de exploração da mesma cadeia. No log do RouterOS, procure por estas entradas:

• login failure for user -2 from <ip> via ssh
• user <nome> added by ssh:-2@<ip>

Um usuário privilegiado chamado “ops” que você não criou é outro indício. As versões corrigidas incluem um mecanismo que verifica a configuração na inicialização e marca o dispositivo como “Flagged” ao encontrar sinais conhecidos de comprometimento — mas o próprio CERT Polska alerta que a ausência dessa marca não é prova de que o roteador está limpo, só que o mecanismo não reconheceu nenhum dos indícios que conhece.

O que fazer agora

1. Atualize o RouterOS imediatamente para 7.25beta3, 7.24.2, 7.23.4 ou 6.49.21, pelo menu “Check for Updates” ou baixando direto do site da MikroTik.
2. Se não puder atualizar agora, desative ou restrinja a redes de gerência confiáveis o acesso a SSH, WWW/WWW-SSL e ao servidor bandwidth-test, e evite usar o cliente SSH embutido do RouterOS (/system ssh) a partir de um dispositivo ainda não corrigido em redes não confiáveis.
3. Depois de atualizar, rode /system/device-mode/print para checar o status “Flagged”, revise o log em busca das entradas de comprometimento e confira usuários, scripts, tarefas do scheduler e túneis que você não reconhece.
4. Se houver qualquer indício de comprometimento, isole o roteador da rede, preserve logs e configuração antes de resetar, restaure de fábrica com uma configuração confiável (nunca restaurando o backup do dispositivo potencialmente comprometido) e troque todas as senhas e chaves em uso.

Perguntas frequentes

Meu SSH não está exposto à internet — preciso agir?
O vetor de ataque exige SSH acessível publicamente, mas a MikroTik recomenda atualizar todos os dispositivos, já que a configuração pode ter sido alterada sem você perceber.

A ausência da marca “Flagged” garante que o dispositivo está seguro?
Não. O CERT Polska é explícito: o mecanismo detecta só indícios conhecidos, e não publicou todos os detalhes técnicos para não facilitar a automação de ataques.

Quais versões corrigem a falha?
RouterOS 7.25beta3, 7.24.2, 7.23.4 e 6.49.21, publicadas pela MikroTik em 3 de setembro de 2026.

Conclusão

Com mais de 120 mil roteadores MikroTik expostos e uma exploração ativa desde o início do mês, atualizar deixou de ser rotina de manutenção: é a única forma confirmada de bloquear o MikroTrick. Priorize os dispositivos com SSH exposto, mas trate a checagem de configuração como obrigatória em qualquer RouterOS sob sua gestão.