Vulnerabilidade no MikroTik RouterOS expõe chave privada WireGuard via API
Roteadores MikroTik com a API do RouterOS habilitada estão expostos a uma vulnerabilidade de expiração de sessão insuficiente que permite a um atacante extrair a chave privada do WireGuard em texto plano usando apenas acesso de API de baixo privilégio — o suficiente para personificar completamente a VPN e decriptar todo o tráfego associado.
O que a falha permite na prática
O WireGuard depende de um par de chaves (pública/privada) para autenticar e cifrar túneis. Se a chave privada de um peer vaza, qualquer pessoa de posse dela pode se passar por aquele peer na VPN — inclusive descriptografando tráfego capturado anteriormente, caso tenha gravado os pacotes. Nesta vulnerabilidade, uma sessão de API que deveria expirar continua válida além do esperado, permitindo que uma credencial de baixo privilégio (não administrativa) consiga consultar dados que deveriam estar restritos a contas com privilégio elevado — entre eles, a chave privada do WireGuard configurada no equipamento.
Esse tipo de falha é particularmente perigoso porque não depende de exploração de memória ou técnicas sofisticadas: qualquer credencial de API válida, mesmo limitada, pode ser suficiente se a sessão não expirar corretamente.
Contexto: RouterOS segue sendo alvo recorrente
Este não é um caso isolado. Pesquisas recentes já apontaram até 900 mil roteadores MikroTik potencialmente vulneráveis a takeover total por outras falhas no RouterOS, e o histórico do PulseIT já cobriu botnets que exploraram equipamentos MikroTik mal configurados no passado. A combinação de grande base instalada, uso extensivo de RouterOS em provedores e empresas, e exposição frequente da API a redes internas (às vezes até à internet) torna esse tipo de vulnerabilidade especialmente relevante.
Como mitigar
- Restrinja o acesso à API — nunca exponha a porta da API (8728/8729) diretamente à internet; limite o acesso por firewall a IPs de gestão confiáveis.
- Atualize o RouterOS para a versão mais recente estável assim que o fix oficial da MikroTik estiver disponível para esta falha específica.
- Revise contas de API — audite quais usuários têm acesso à API, remova credenciais não utilizadas e aplique o princípio de menor privilégio.
- Rotacione as chaves WireGuard em equipamentos que tiveram a API exposta de forma insegura, por precaução, mesmo sem evidência confirmada de comprometimento.
- Monitore logs de sessão de API em busca de sessões anormalmente longas ou reconexões fora do padrão esperado.
Perguntas frequentes
Só quem usa WireGuard no MikroTik é afetado?
O vazamento específico é da chave WireGuard, mas a causa raiz — expiração de sessão insuficiente na API — pode expor outras configurações sensíveis armazenadas no equipamento, então vale revisar o acesso à API independentemente do protocolo de VPN usado.
Desabilitar a API resolve o problema?
Sim, se a API não for necessária para automação/monitoramento, desabilitá-la elimina esse vetor específico. Caso seja necessária, restrinja por IP e use contas com o mínimo de privilégio possível.
Como sei se meu RouterOS está vulnerável?
Consulte o changelog oficial da MikroTik para a versão instalada e compare com o release notes da correção assim que publicada, priorizando equipamentos com a API acessível fora da rede de gestão.
Conclusão
Falhas de expiração de sessão são fáceis de subestimar porque não soam tão “graves” quanto um RCE, mas na prática entregam ao atacante exatamente o que ele precisa: uma credencial ativa por tempo indevido. Para quem administra MikroTik em produção, a lição prática é a mesma de sempre — API nunca exposta à internet, contas com privilégio mínimo e atualização constante do RouterOS.
