Cadeia MikroTrick abre roteadores MikroTik expostos à internet sem autenticação, alerta CERT Polska
CERT Polska coordenou a divulgação de seis falhas no RouterOS; a combinação de duas delas dá controle root remoto via SSH sem credenciais e já é explorada.
A CERT Polska divulgou em 6 de setembro seis vulnerabilidades no MikroTik RouterOS que a agência recebeu de pesquisadores externos e coordenou junto à fabricante. Duas delas, quando encadeadas, permitem a um atacante remoto executar código como root em qualquer roteador que exponha o serviço SSH à internet, sem apresentar credenciais. A agência polonesa batizou a cadeia de MikroTrick e afirma ter registrado tentativas de exploração antes mesmo da divulgação pública.
As duas falhas que fazem o encadeamento funcionar
O primeiro elo, catalogado como CVE-2026-67276, é uma falha na comparação da chave pública RSA usada para autenticar sessões SSH. O RouterOS aceita como válida uma assinatura cujo módulo coincida com o de uma chave autorizada, sem checar o restante do material criptográfico. Um atacante que conheça o módulo público de um usuário autorizado pode forjar assinaturas e abrir um shell SSH em nome dessa identidade, mesmo sem posse da chave privada.
O segundo elo, CVE-2026-86060, atua sobre a máscara de política que o RouterOS aplica com base no nome de usuário informado no login. Nomes iniciados por um caractere proibido fazem o interpretador saltar a checagem e adotar o perfil mais permissivo. Combinada com a falha na verificação RSA, essa segunda peça converte o acesso obtido sem autenticação real em sessão administrativa. O aviso da CERT Polska descreve outras quatro falhas divulgadas no mesmo pacote, incluindo uma leitura de arquivos como root sem autenticação no caminho /jsproxy da interface WebFig, útil para o atacante que quer inventariar o dispositivo antes do próximo passo.
A MikroTik confirma no seu aviso de segurança que releases corrigidos foram publicados em todos os canais, incluindo estável e long-term, e recomenda atualização imediata para operadores que expõem SSH ou WebFig à internet. A fabricante orienta ainda restringir os planos de gerência por lista de firewall e girar as chaves autorizadas após a atualização. A janela de proteção é curta: em ciclos anteriores de dias zero em roteadores de borda, o intervalo entre disclosure público e varredura em massa se mediu em horas, não em dias.
Por que o alvo é MikroTik
RouterOS é a base de boa parte do último quilômetro em regiões onde o custo por gigabit pesa mais que a marca. Provedores regionais na América Latina, no Sudeste Asiático e na Europa Oriental operam frotas de milhares de unidades gerenciadas em massa via SSH. No Brasil, MikroTik equipa uma fatia relevante das operações dos provedores independentes que atendem cidades médias e áreas rurais, o segmento que a Anatel classifica como pequenos prestadores e que responde por metade da base de banda larga fixa nos últimos ciclos, algo próximo de 24 milhões de acessos residenciais quando somados os PPPs regionais.
O padrão europeu é semelhante, com concentração em Polônia, República Tcheca e Alemanha, países onde a MikroTik nasceu como referência para wireless ISPs. Um provedor médio com mil roteadores em campo, sem inventário atualizado, precisa mapear em horas quais unidades expõem SSH à internet, quais rodam versões vulneráveis e quais aceitam atualização remota sem passar pelo cliente final. A CERT Polska diz que os ataques em curso ainda partem de operadores que testam o vetor no atacado, mas o roteiro público expõe a receita para qualquer ator que queira montar botnet ou pivotar para dentro da rede do assinante, cenário que reproduz o do VPNFilter em 2018 e o do Cyclops Blink em 2022, ambos com origem em roteadores de acesso não corrigidos.
O que muda para o CISO
Duas leituras se impõem para o time de segurança. Primeiro, o vetor não exige engenharia social nem malware previamente carregado: quem tiver o módulo RSA de uma chave autorizada, ou souber contornar a checagem de nome de usuário, entra como administrador. Segundo, a superfície comprometida não é datacenter, é rede de acesso. Ferramentas de EDR não observam esse plano, e boa parte das operações que dependem de MikroTik em campo terceiriza a gestão para integradores regionais que operam em janelas mensais, não emergenciais.
O manual imediato é o de sempre em falha de dispositivo de borda: fechar SSH ao público, restringir a origem por lista de firewall, girar chaves autorizadas, aplicar as versões corrigidas anunciadas pela fabricante. Fora do checklist, a coordenação da CERT Polska sinaliza algo novo. Agências nacionais europeias começam a assumir a ponta técnica em uma classe de produto que raramente aparece em boletins de dia zero. Se a postura se espalhar, outros CERTs vão adotar a mesma disciplina de coordenação em roteadores de acesso, faixa historicamente deixada para bulletins de fabricante e cobertura fragmentada da imprensa especializada, e o CISO passa a receber alerta oficial sobre plataformas hoje invisíveis ao seu inventário de risco. O ganho de sinal, porém, chega com um custo: quando o alerta vira público, a corrida também.