MikroTik: falha no SSH do RouterOS entra na lista da CISA

O que a CISA publicou

O catálogo KEV (Known Exploited Vulnerabilities) da agência de cibersegurança dos EUA lista falhas que já estão sendo exploradas de verdade. Entrar nele não é questão de nota de gravidade: é a confirmação de que há ataques. Em setembro de 2026, o RouterOS da MikroTik apareceu três vezes.

Os prazos de 3 dias seguem a diretiva BOD 26-04, publicada pela CISA em junho de 2026, que reserva o prazo mais curto para falhas expostas à internet, exploráveis de forma automatizada e que dão controle total do equipamento. A diretiva só obriga órgãos federais americanos, mas a CISA recomenda o catálogo a todas as organizações.

Como o ataque funciona

O CERT Polska, que participou da divulgação, descreveu o mecanismo. Depois de uma renegociação de chaves (rekey), o servidor SSH do RouterOS entrava na fase de conexão sem exigir autenticação. Um cliente sem login conseguia abrir um canal de sessão e pedir a execução de um comando (CVE-2026-67279). A outra falha (CVE-2026-86060) permitia fazer o login com uma máscara de política escolhida pelo atacante. Juntas, levavam ao controle completo do roteador. O CERT Polska relatou exploração ativa contra equipamentos com SSH acessível pela internet.

A falha no btest (CVE-2026-67277) é menor: um pedido forjado ao servidor de teste de banda podia derrubar o roteador ou revelar pequenos trechos de memória. Mesmo assim, entrou no catálogo. Confira se o servidor de btest está ligado nos seus roteadores: muitos operadores nem lembram que ele existe.

Um velho conhecido do CERT.br

Roteadores MikroTik não são novidade nas estatísticas brasileiras. O CERT.br, centro de tratamento de incidentes do NIC.br, mantém entre os seus indícios de comprometimento um caso específico: equipamentos MikroTik com um proxy SOCKS configurado nas portas 4145/TCP ou 5678/TCP, sinal de que podem estar infectados por uma botnet usada para spam e ataques de negação de serviço. O CERT.br também já registrou varreduras dirigidas às portas 22/TCP (SSH), 8291/TCP (WinBox) e 8728/TCP (API do RouterOS).

Ou seja, há quem procure esses serviços abertos o tempo todo. Uma falha nova no SSH só encurta o caminho. Se o seu provedor recebe notificações do CERT.br, trate as que citam MikroTik com a mesma prioridade desta atualização.

Quais versões instalar

A MikroTik liberou correções no início de setembro (7.24.2, 7.23.4 e 6.49.21). Depois, informou que a correção de uma das falhas nas versões 7.24.2 e 7.23.4 estava incompleta. As versões a usar, segundo o aviso atualizado da MikroTik em 6 de outubro de 2026:

Se a sua frota parou em 7.24.2 ou 7.23.4, ela ainda precisa de mais uma atualização.

Fechando a gerência: o filtro que vale para qualquer CVE

A orientação da MikroTik é não deixar SSH e WebFig abertos a redes não confiáveis. A forma mais simples é ter uma sub-rede de gerência e aceitar os serviços de administração só a partir dela. No exemplo, a gerência é 10.255.0.0/27:

Com 30 endereços, cabem as estações dos analistas, o servidor de automação e o sistema de monitoramento. No RouterOS, a ideia é uma lista de endereços com esse bloco e regras na cadeia de entrada que aceitam as portas de gerência (SSH, WinBox, WebFig, API) só quando a origem está na lista, descartando o resto. Também vale restringir cada serviço em /ip service ao mesmo bloco e desligar o servidor de btest onde ele não é usado.

A calculadora de sub-rede confere máscara, wildcard e faixa do bloco que você escolher.

A conta da janela de atualização

Atualizar uma frota grande leva tempo, e é isso que a lista da CISA pressiona. Suponha (valores de exemplo) um provedor com 300 roteadores RouterOS e 2 técnicos, cada um atualizando 12 roteadores por hora com reinício e conferência:

São 12,5 horas, ou cerca de 4 janelas noturnas de 4 horas. É mais do que os três dias que a CISA dá às agências americanas. Por isso, a ordem importa:

1. Primeiro, os roteadores com SSH ou WinBox alcançáveis da internet. Feche o acesso antes mesmo de atualizar.
2. Depois, concentradores e roteadores de borda.
3. Por último, equipamentos internos, já protegidos pelo filtro de gerência.

Roteiro rápido

1. Faça um levantamento das versões em uso e procure 7.24.2 e 7.23.4, que precisam de nova atualização.
2. Bloqueie SSH, WinBox, WebFig e API de fora da rede de gerência.
3. Desligue o servidor de btest onde ele não é necessário.
4. Atualize para 7.24.3, 7.23.6 ou 6.49.21.
5. Procure sinais de acesso indevido: usuários novos, scripts e agendamentos que você não criou.

Perguntas frequentes

Meu SSH está numa porta diferente da 22. Estou protegido?

Não. Mudar a porta reduz o ruído de varreduras, mas não impede quem procura o serviço em todas as portas. O que protege é o filtro por origem e a versão corrigida.

Atualizei. Preciso fazer mais alguma coisa?

Sim, se o roteador ficou exposto antes da atualização. Atualizar não remove um invasor que já entrou. Revise usuários, scripts, agendamentos e regras de firewall, e troque as senhas de administração.

O RouterOS v6 também é afetado?

A MikroTik publicou correção para o ramo v6 na versão 6.49.21. Confira no aviso da MikroTik quais falhas atingem cada ramo.