Resumo executivo

O CERT Polska confirmou exploração ativa de vulnerabilidades críticas no MikroTik RouterOS, concatenadas em uma cadeia de ataque apelidada de “MikroTrick”, que permite tomada completa de dispositivos sem autenticação quando o SSH está acessível a partir de redes públicas. Ataques estão em andamento desde pelo menos 02/09/2026,  um dia antes da liberação dos patches pela MikroTik em 03/09/2026.

A cadeia explora CVE-2026-67276 (SSH authentication bypass, CVSS 9.2) + CVE-2026-86060 (escalação de privilégios via SSH, CVSS 9.2). Uma terceira falha, CVE-2026-67277 (memory disclosure/DoS no bandwidth-test, CVSS 8.8), amplia o risco e foi observada em campanhas reais. Estima-se que exista algo como 122.500 roteadores MikroTik com SSH exposto à internet.

Status no CISA KEV: até a publicação deste alerta (10/09/2026), nem todas as CVEs MikroTrick já foram adicionadas ao catálogo KEV da CISA (no momento apenas a CVE-2026-67277 e CVE-2026-86060). A urgência operacional, no entanto, já está estabelecida pela confirmação do CERT Polska. Não aguarde a listagem no KEV para adotar as medidas recomendadas

Ficha técnica — Cadeia MikroTrick e CVEs relacionadas

Nota sobre escopo de versões: a CVE-2026-67276 afeta apenas RouterOS 7.x (a partir de 7.9). A CVE-2026-86060 e a CVE-2026-67277 afetam tanto RouterOS 7.x quanto 6.x. A cadeia MikroTrick completa (bypass + escalação) portanto requer RouterOS 7.x com SSH acessível.

Outras CVEs corrigidas no mesmo release

O CERT Polska divulgou 6 CVEs no total, todas corrigidas nas mesmas versões. As três adicionais são:

Timeline

O que fazer agora (prioridade alta)

1) Atualizar imediatamente

Atualize para as versões corrigidas:

• 7.24.2 (stable)
• 7.23.4 (long-term)
• 6.49.21 (long-term)
• 7.25beta3 (dev/testing)

Atenção: aplicar o patch previne exploração futura, mas não remove implantes já instalados (contas criadas, scripts agendados, regras de firewall/NAT inseridas pelos atacantes). Qualquer dispositivo com indícios de comprometimento deve ser restaurado a configuração de fábrica e reconfigurado a partir de configuração limpa verificada.

2) Reduzir superfície de ataque

Bloqueie o acesso aos serviços de gerenciamento a partir da internet, permitindo apenas redes de gestão/VPN confiáveis. Aplique para:

• SSH (TCP 22)
• WWW / WWW-SSL (WebFig)
• API / API-SSL
• bandwidth-test (TCP/UDP 2000)

Enquanto o patch não puder ser aplicado, não inicie conexões TLS a partir do dispositivo nem use os clientes SSH embutidos (/system ssh e /system ssh-exec), especialmente quando a comunicação passa por redes não confiáveis — a CVE-2026-67278 (forja de certificados X.509) pode ser explorada nesse vetor.

3) Verificar comprometimento

Após aplicar o patch, execute as seguintes verificações:

# Verificar marcador "Flagged" (mecanismo de detecção adicionado pelo patch)
/system/device-mode/print

# Revisar logs para entradas de comprometimento conhecidas
/log/print where topics~"critical"

# Procurar contas não autorizadas (IoCs conhecidos: "ops" e "-2")
/user/print

# Verificar scripts agendados suspeitos
/system/scheduler/print

# Verificar regras de firewall/NAT inseridas pelos atacantes
/ip/firewall/filter/print
/ip/firewall/nat/print

# Verificar proxies e túneis desconhecidos
/ip/proxy/print
/interface/print

Importante: o mecanismo “Flagged” introduzido pelo patch escaneia a configuração na inicialização buscando sinais conhecidos de alterações não autorizadas, desabilita entradas suspeitas e registra um aviso crítico. No entanto, conforme o próprio CERT Polska, a ausência do marcador não é prova de que o dispositivo está seguro — o mecanismo detecta apenas um subconjunto de rastros.

4) Resposta a comprometimento confirmado

Se o marcador “Flagged“, logs, contas desconhecidas ou quaisquer outros indícios apontarem para comprometimento:

• Isolar o equipamento da rede.
• Preservar logs e configuração antes do reset (para análise forense).
• Restaurar configuração de fábrica e reconfigurar a partir de configuração limpa e verificada — não restaure backup de configuração completo de um dispositivo potencialmente comprometido.
• Rotacionar todas as credenciais: senhas admin, chaves SSH, senhas VPN, tokens, e quaisquer segredos armazenados no dispositivo.
• Não limpar o marcador “Flagged” antes de concluir a análise e preservar o material.

Indicadores de comprometimento (IOC)

Entradas de log (padrão observado pelo CERT Polska)

login failure for user -2 from <ip> via ssh
user <name> added by ssh:-2@<ip>

Contas de usuário

Endereços IP de ataque

A presença de qualquer um desses artefatos indica tentativa de exploração e deve ser investigada imediatamente. Ao mesmo tempo, a ausência desses rastros não descarta atividade não autorizada.

Contexto adicional

As vulnerabilidades foram descobertas por Sławomir Rozbicki do CERT Polska, utilizando os modelos GPT-5.5-cyber e GPT-5.6-sol como parte de um ambiente de pesquisa baseado em agentes, dentro do programa Government and Trust Agency Collaboration (GTAC) da OpenAI. Os modelos automatizaram a criação e restauração de máquinas de laboratório, análise de RFCs e código binário, e construção de scripts de confirmação — mas cada hipótese exigiu validação em RouterOS real, testes de controle negativo e avaliação de impacto pelos pesquisadores.

Referências

• CERT Polska — advisory de exploração ativa: https://cert.pl/en/posts/2026/09/vulnerabilities-in-mikrotik-routeros-actively-exploited/
• CERT Polska — CVEs detalhadas: https://cert.pl/en/posts/2026/09/mikrotik-routeros-cve/
• MikroTik Security Bulletin: https://mikrotik.com/supportsec/september-2026-vulnerability/
• MikroTik — documentação do mecanismo “Flagged”: https://manual.mikrotik.com/docs/system-information-and-utilities/device-mode#flagged-status
• BleepingComputer — cobertura MikroTrick: https://www.bleepingcomputer.com/news/security/hackers-exploit-new-mikrotik-routeros-flaws-to-hijack-routers/
• SecurityWeek — cobertura MikroTrick: https://www.securityweek.com/mikrotik-patches-critical-flaws-chained-to-hack-routers/

Este alerta será atualizado caso as demais CVEs MikroTrick sejam adicionadas ao catálogo KEV da CISA.