Deixar a interface de administração de um roteador exposta diretamente à internet nunca foi exatamente uma ideia brilhante. No caso de equipamentos MikroTik vulneráveis, o problema agora ganhou consequências bem mais sérias.
Atacantes estão explorando ativamente roteadores MikroTik que possuem o serviço SSH acessível pela internet para conseguir controle administrativo do equipamento sem autenticação. O alerta foi publicado pelo CERT Polska em 5 de setembro de 2026.
Segundo a organização, ataques bem sucedidos foram identificados pelo menos desde 2 de setembro. Até o momento, não há uma estimativa pública sobre o número de equipamentos comprometidos, tampouco informações conclusivas sobre quem está conduzindo a campanha.
O problema merece atenção principalmente porque um roteador comprometido não representa apenas mais um dispositivo infectado na rede. Ele está justamente no lugar por onde boa parte do tráfego passa.
MikroTik já disponibilizou correções para o RouterOS
A MikroTik publicou atualizações de segurança para diferentes versões do RouterOS. Segundo o CERT Polska, essas correções impedem os ataques observados durante a investigação.
Quem administra equipamentos da fabricante deve tratar a atualização como prioridade, especialmente quando existem serviços administrativos acessíveis pela internet.
As versões vulneráveis e respectivas correções divulgadas são as seguintes.
- RouterOS a partir da versão 6.0.0 e anterior à 6.49.21 deve ser atualizado para a versão 6.49.21.
- RouterOS a partir da versão 7.0.0 e anterior à 7.23.4 deve receber a correção 7.23.4. Para equipamentos utilizando o canal Long Term, a recomendação é utilizar a versão 7.23.5.
- RouterOS 7.24 anterior à versão 7.24.2 deve ser atualizado para a versão 7.24.2.
Para o canal de desenvolvimento, a correção também está presente na versão 7.25beta3.
A versão 7.23.5 merece uma observação. Ela corrige uma regressão relacionada ao DHCP IPv6 introduzida na 7.23.4 e mantém a atualização de segurança.
As atualizações devem ser obtidas pelos canais oficiais da MikroTik.
Roteadores domésticos com configuração padrão possuem uma camada adicional de proteção
Existe uma diferença importante entre um RouterOS vulnerável e um equipamento efetivamente exposto ao ataque observado.
Segundo a própria MikroTik, equipamentos domésticos que continuam utilizando as regras padrão de firewall bloqueiam o acesso público às portas de gerenciamento.
Isso reduz a exposição ao vetor identificado pelo CERT Polska, mas não transforma a atualização em algo opcional.
Configurações mudam, regras são adicionadas, portas acabam sendo abertas para manutenção e, alguns meses depois, ninguém lembra exatamente por que aquele SSH precisava estar disponível para toda a internet. A arqueologia de firewall corporativo costuma produzir descobertas interessantes.
Por isso, além de atualizar o RouterOS, administradores devem verificar quais serviços administrativos estão realmente acessíveis externamente.
Não consegue atualizar agora? Restrinja o acesso imediatamente
O CERT Polska recomenda desativar temporariamente serviços expostos ou permitir acesso somente a partir de redes confiáveis de gerenciamento até que a atualização possa ser instalada.
A atenção deve ser especialmente direcionada aos serviços SSH, WWW, WWW SSL e bandwidth test.
O CERT também recomenda não iniciar conexões TLS nem utilizar os clientes SSH integrados ao RouterOS a partir de equipamentos que ainda não receberam a atualização.
Essas medidas são apenas formas temporárias de reduzir a superfície de ataque. Elas não substituem a instalação das versões corrigidas.
Atualizar o roteador pode não ser suficiente
Existe outro detalhe importante para quem administra um MikroTik vulnerável: instalar a correção impede novas explorações conhecidas, mas não desfaz automaticamente uma invasão que já aconteceu.
Depois da atualização, é necessário verificar se alguém passou pelo equipamento antes dela.
O RouterOS possui um mecanismo chamado Flagged. Durante a inicialização, determinadas verificações podem identificar configurações consideradas suspeitas. Quando isso acontece, o sistema sinaliza o dispositivo, desativa determinadas entradas e restringe algumas funcionalidades.
Depois de atualizar, administradores devem analisar os logs do equipamento e consultar o estado do Device Mode usando o comando:
/system/device-mode/printA ausência do alerta, porém, não deve ser interpretada como prova definitiva de que o equipamento está limpo.
Também é necessário revisar usuários cadastrados, scripts, configurações e alterações que não sejam reconhecidas pela equipe responsável pelo roteador.
Existem alguns sinais específicos de comprometimento
O CERT Polska chama atenção para a existência inesperada de contas chamadas ops com privilégios elevados.
Outro indicador citado está relacionado aos registros de criação de contas contendo ssh:-2@.
Encontrar um desses elementos não é exatamente o tipo de surpresa que um administrador espera durante uma auditoria de rotina.
Caso os logs, configurações ou o estado Flagged indiquem uma possível invasão, a recomendação é tratar o equipamento como potencialmente comprometido e iniciar o processo de resposta ao incidente.
Um detalhe importante é não limpar o estado Flagged antes de preservar as evidências necessárias para análise.
O que fazer se o MikroTik tiver sido comprometido
A primeira medida recomendada pelo CERT é isolar o roteador da rede. Antes de restaurar qualquer configuração, os logs e dados relevantes devem ser preservados para investigação.
Depois da coleta das evidências, o equipamento deve ser restaurado para as configurações de fábrica e reconstruído utilizando uma configuração conhecida e confiável.
Restaurar cegamente um backup completo produzido pelo próprio dispositivo comprometido pode simplesmente trazer parte do problema de volta. É aquela eficiência que ninguém gostaria de ter.
Credenciais também precisam entrar na investigação. Senhas, chaves e outros segredos utilizados no equipamento devem ser alterados caso exista possibilidade de terem sido expostos.
A abrangência dessa troca dependerá do ambiente e das credenciais utilizadas pelo roteador.
Cadeia de ataques recebeu o nome MikroTrick
O CERT Polska chama a combinação reportada de duas vulnerabilidades de MikroTrick.
Ainda existe, porém, uma informação relevante que não está clara nas divulgações públicas disponíveis: quais são exatamente as duas vulnerabilidades utilizadas na cadeia observada e como elas são combinadas para resultar em controle administrativo.
Portanto, apesar de sabermos que existe exploração ativa e que versões corrigidas foram disponibilizadas, alguns detalhes técnicos do ataque continuam sem explicação pública.
Isso também significa que é preciso ter cuidado com conclusões sobre o funcionamento completo da exploração antes que mais informações técnicas sejam divulgadas.
Foi um ataque zero day?
Ainda não dá para afirmar.
As notas da versão 7.25beta3 apresentam uma alteração datada de 2 de setembro, enquanto essa versão e outras correções iniciais foram anunciadas em 3 de setembro.
O CERT Polska afirma ter observado ataques bem sucedidos pelo menos desde 2 de setembro.
A proximidade entre essas datas chama atenção, mas não comprova que os atacantes estavam explorando uma vulnerabilidade antes da existência de uma correção pública.
Com as informações disponíveis, classificar o caso definitivamente como exploração zero day seria avançar além das evidências. E segurança já tem marketing suficiente sem precisar transformar dúvida em certeza.
O que administradores de MikroTik precisam fazer agora
A prioridade é verificar a versão do RouterOS instalada e atualizar imediatamente qualquer equipamento vulnerável utilizando somente os pacotes disponibilizados oficialmente pela MikroTik.
Depois disso, é importante verificar se SSH e outros serviços administrativos estão expostos à internet e restringir esse acesso sempre que ele não for absolutamente necessário.
A análise não deve terminar na atualização. Logs, usuários, scripts, configurações e o estado Flagged precisam ser revisados em busca de alterações desconhecidas.
Se houver indícios de comprometimento, o caminho mais seguro é preservar as evidências, isolar o equipamento, restaurá lo para o estado de fábrica, reconstruir a configuração a partir de uma fonte confiável e substituir as credenciais potencialmente expostas.
O caso MikroTrick reforça uma regra bastante antiga de segurança de redes: interface administrativa não deveria ficar aberta para a internet apenas porque é conveniente.
Atualizações corrigem vulnerabilidades. Uma boa arquitetura evita que muitas delas estejam ao alcance de qualquer pessoa na internet em primeiro lugar.
