Exploração Ativa de Roteadores MikroTik Confirmada

Pesquisadores de segurança confirmaram exploração ativa no mundo real de uma cadeia de vulnerabilidades críticas que afetam roteadores MikroTik que executam RouterOS. O ataque, apelidado de MikroTrick, combina duas falhas: CVE-2026-67276, uma bypass de autenticação SSH, e CVE-2026-86060, uma falha de escalonamento de privilégios que permite que atacantes elevem uma sessão SSH para controle administrativo total. Juntas, as duas vulnerabilidades permitem que um atacante obtenha acesso completo a um roteador vulnerável sem precisar de credenciais válidas.

Este não é um risco teórico. Relatórios indicam que a exploração está em andamento desde o início de setembro, e pesquisadores identificaram mais de 122.500 dispositivos MikroTik que expõem sua porta de gerenciamento SSH diretamente à internet, tornando-os alvos alcançáveis para ferramentas automatizadas de varredura e ataque. Uma vez comprometidos, os roteadores podem mostrar um sinal revelador: uma conta não autorizada "SSH user 2" adicionada pelos atacantes, uma impressão digital silenciosa, mas visível, da intrusão.

Como Funciona a Cadeia de Ataque MikroTrick

Roteadores são alvos atraentes justamente porque ficam na borda da rede, roteando cada pacote de tráfego que entra e sai de uma residência ou empresa. Um roteador comprometido não apenas expõe o dispositivo em si; ele pode dar ao atacante uma base para interceptar tráfego, redirecionar consultas DNS, avançar para redes internas ou alistar o dispositivo em uma botnet para ataques maiores, como campanhas de negação de serviço distribuída.

A cadeia MikroTrick é particularmente preocupante porque visa SSH, um protocolo no qual administradores confiam especificamente por ser supostamente seguro. Ao contornar a autenticação inteiramente e depois escalar privilégios dentro da sessão, os atacantes ignoram o atrito usual de adivinhar senhas ou explorar credenciais fracas. Qualquer dispositivo RouterOS com SSH exposto à internet pública e executando uma versão sem patch é um alvo em potencial.

A MikroTik lançou correções que abordam as falhas, com versões corrigidas disponíveis para RouterOS 7.24.2, 7.23.5 e 6.49.21. Administradores que executam versões mais antigas ou sem patch permanecem expostos até atualizarem.

Por Que Isso Importa para a Privacidade, Não Apenas para a Segurança de Rede

É fácil pensar em vulnerabilidades de roteadores como um problema de TI para administradores de rede, mas as implicações para a privacidade vão muito além. Um roteador é o ponto único pelo qual passa todo o tráfego de internet de uma residência ou empresa. Quando comprometido, um atacante pode potencialmente observar tráfego não criptografado, manipular DNS para redirecionar usuários a sites maliciosos ou usar o dispositivo como uma plataforma de lançamento para vigilância e intrusão adicional em dispositivos conectados, como laptops, gadgets de casa inteligente e câmeras de segurança.

Esse tipo de comprometimento em nível de infraestrutura espelha um padrão mais amplo visto no cenário de ameaças, onde atacantes visam cada vez mais as ferramentas em que as pessoas confiam para se manterem seguras. Assim como atores patrocinados por estados exploraram falhas zero-day em software amplamente utilizado para atingir grupos específicos, atacantes oportunistas e financeiramente motivados estão explorando zero-days em nível de roteador em escala, atingindo qualquer dispositivo exposto em vez de um alvo único. A campanha MikroTrick parece se enquadrar nesta última categoria: exploração ampla e automatizada de qualquer dispositivo voltado à internet deixado vulnerável.

O Que Isso Significa para Você

Se você ou sua organização usam roteadores MikroTik, o primeiro passo é verificar se o gerenciamento SSH está exposto à internet pública. Para a maioria das configurações residenciais e de pequenas empresas, raramente há um bom motivo para deixar o SSH aberto para a internet em geral; ele deve ser restrito a redes internas confiáveis ou acessado apenas por meio de um túnel VPN.

Em seguida, confirme sua versão do RouterOS. Se você não estiver executando 7.24.2, 7.23.5, 6.49.21 ou versões posteriores, a atualização deve ser tratada como urgente, não opcional. Dado que a exploração já está em andamento, dispositivos sem patch estão sendo ativamente visados agora, não apenas teoricamente em risco.

Por fim, verifique seu dispositivo em busca de sinais de comprometimento, particularmente contas de usuário desconhecidas, como um login inesperado "SSH user 2", que pesquisadores sinalizaram como um indicador ligado a esta cadeia de ataque específica. Se você encontrar evidências de acesso não autorizado, uma redefinição de fábrica combinada com uma instalação nova e corrigida é o caminho mais seguro, junto com a rotação de quaisquer credenciais que possam ter sido expostas.

Conclusões Acionáveis

Proprietários de roteadores MikroTik devem tratar isso como um chamado à ação, em vez de uma ameaça distante. Atualize o RouterOS para uma versão corrigida imediatamente, desative ou restrinja o acesso SSH da internet pública e inspecione logs de dispositivos e contas de usuário em busca de sinais de adulteração. Administradores de rede que gerenciam frotas de dispositivos MikroTik devem priorizar a auditoria de interfaces de gerenciamento voltadas à internet em toda a sua implantação, já que um único roteador exposto pode minar a segurança de uma rede que, de outra forma, seria bem protegida. Manter-se atualizado com patches e minimizar a exposição desnecessária à internet continuam sendo as defesas mais eficazes contra esta e futuras campanhas de exploração focadas em roteadores.