Falha na MikroTik: o SSH entrega o router inteiro
O CERT Polska publicou a 5 de setembro de 2026 seis vulnerabilidades no MikroTik RouterOS. Duas delas encadeiam-se e dão permissões completas de administrador através do SSH do MikroTik RouterOS, sem palavra-passe e sem chave privada. A cadeia foi batizada de MikroTrick. Os ataques a equipamentos cuja porta SSH responde a partir da internet decorrem pelo menos desde 2 de setembro, e as versões corrigidas já estão disponíveis.
Em resumo
- Duas falhas encadeadas dão acesso de administrador a um router MikroTik por SSH sem palavra-passe.
- Os ataques observam-se desde 2 de setembro e nos equipamentos comprometidos aparece uma conta chamada "ops".
- Corrigido no RouterOS 7.24.2, 7.23.4, 6.49.21 e 7.25beta3.
Como funciona a cadeia MikroTik RouterOS SSH
A primeira falha é um contorno da autenticação SSH. O RouterOS compara a chave recebida com a chave RSA autorizada pelo tipo e pelo módulo, mas não pelo expoente, e verifica a assinatura com a própria chave enviada pelo cliente. Quem conhece um nome de utilizador válido e a parte pública da respetiva chave RSA constrói uma chave com expoente um, assina com ela o pedido e abre uma sessão em nome desse utilizador. Não é preciso chave privada nem palavra-passe.
- O atacante liga-se a um router cujo serviço SSH responde a partir da internet pública.
- Uma chave RSA forjada passa na comparação incompleta e abre uma sessão como utilizador existente.
- Um nome de utilizador começado por um carácter proibido escapa ao tratamento de argumentos no auxiliar de início de sessão.
- A máscara de políticas da sessão é reescrita e a sessão fica com permissões completas de administrador.
Os dois elos são o CVE-2026-67276 (verificação de assinatura) e o CVE-2026-86060 (tratamento de argumentos), ambos com 9.2. Os outros quatro cobrem um teste de largura de banda sem autenticação que expõe memória, a validação de certificados X.509, a execução de comandos SSH sem autenticação e um ponteiro não inicializado na autorização de ficheiros do WebFig.
Como perceber se o router já foi levado
O CERT Polska publicou indicadores concretos, e todos se verificam no próprio router.
- Entradas no registo: linhas
login failure for user -2 from <ip> via ssh, ou uma sessão bem sucedida apresentada comossh:-2@<ip>. - Uma conta nova: um utilizador com privilégios chamado
opsque ninguém na equipa criou. - Alterações de configuração: novas chaves SSH, scripts, agendadores, serviços, regras de firewall, proxies, túneis ou captura de pacotes ativada em
/system history. - Endereços conhecidos: ligações a partir de 82.192.72.4 ou 103.102.31.18.
Se os sinais aparecerem, retira-se primeiro o equipamento da rede e guardam-se os registos; a reparação vem depois. Uma reposição de fábrica elimina a conta do atacante, mas também os vestígios, e qualquer palavra-passe ou chave que estivesse nesse router passa a ser considerada conhecida por terceiros.
O primeiro reflexo costuma ser mudar a palavra-passe de administrador, e por si só não resolve nada. A conta criada por outra pessoa fica, a chave SSH acrescentada a um utilizador existente fica, e com elas ficam os scripts, agendadores, regras de firewall e túneis escritos na configuração enquanto o atacante teve permissões de administrador. Por isso a recomendação é rever a configuração inteira ou reconstruí-la a partir de uma cópia anterior à exposição.
No escritório e em casa o risco tem caras diferentes. Um operador ou uma empresa mantém normalmente a gestão numa interface separada e uma conta nova salta à vista na monitorização, portanto o perigo está sobretudo no tempo até à próxima janela de manutenção. Num router doméstico ou de um escritório pequeno, o SSH é mais vezes aberto à mão para acesso remoto, não há monitorização por trás e ninguém lê o registo enquanto nada avaria.
Que versões do RouterOS estão corrigidas
| Ramo | Versão corrigida |
|---|---|
| Stable | 7.24.2 |
| Long-term (7.x) | 7.23.4 |
| Long-term (6.x) | 6.49.21 |
| Beta | 7.25beta3 |
Se atualizar já não for possível, a medida intermédia é deixar de responder a estranhos: desativar o SSH e o WebFig ou limitá-los a um endereço de gestão, e confirmar que o router não os publica para toda a internet. Os modelos domésticos bloqueiam de origem as portas de gestão do lado da WAN, por isso em risco estão sobretudo os equipamentos em que alguém abriu a porta de propósito, quase sempre para chegar ao router a partir de fora.
O que isto muda para uma VPN em casa
A MikroTik não é apenas uma marca de escritório. Os baratos hEX e hAP são uma forma comum de manter em casa um ponto de VPN próprio, com WireGuard, IPsec ou L2TP montados no próprio router, e o acesso remoto por SSH é precisamente a razão pela qual a porta acaba aberta. Quando o router é o servidor de VPN, quem tem o router tem o túnel: vê o que sai dele, pode acrescentar os seus próprios pares e observar o tráfego de todos os aparelhos que estão atrás. Uma aplicação de VPN comercial no portátil continua a cifrar o tráfego desse portátil até ao fornecedor, mas não limpa um router que já tem a conta de outra pessoa.
