Seguir A MikroTik lançou atualizações de segurança de emergência para o RouterOS após os pesquisadores confirmarem que os atacantes estão explorando ativamente um desvio de autenticação SSH de alta gravidade contra roteadores voltados para a internet. Rastreada como CVE-2026-67276 e classificada com 9,2 na escala CVSS, a falha permite que um atacante se autentique como um usuário existente do RouterOS sem possuir a chave privada RSA legítima desse usuário.
A vulnerabilidade torna-se significativamente mais perigosa quando combinada com a CVE-2026-86060, uma fraqueza separada de escalonamento de privilégios SSH. O CERT Polska nomeou a cadeia de ataque de duas etapas MikroTrick e confirmou que atacantes estão usando-a para obter controle administrativo total de dispositivos RouterOS cujo serviço SSH é acessível a partir de redes públicas.
Evidências indicam que a exploração começou já em 2 de setembro de 2026, um dia antes de a MikroTik lançar publicamente as versões corrigidas do RouterOS em 3 de setembro. Ataques bem-sucedidos criaram contas altamente privilegiadas, modificaram a configuração do dispositivo e estabeleceram acessos que podem perdurar até que os administradores investiguem ativamente e reconstruam sistemas comprometidos.
O grupo mais amplo de Falhas MikroTrick divulgadas pelo CERT Polska inclui seis vulnerabilidades do RouterOS que afetam a funcionalidade do servidor e cliente SSH, o serviço de teste de largura de banda, a validação de certificado X.509 e a interface de gerenciamento WebFig. No entanto, CVE-2026-67276 e CVE-2026-86060 formam a combinação atualmente confirmada em ataques ativos de aquisição total do dispositivo.
Análise da CVE-2026-67276
A vulnerabilidade origina-se na maneira como o RouterOS valida chaves públicas RSA durante a autenticação SSH. O RouterOS não comparava a chave pública completa associada a um usuário autorizado. Em vez disso, apenas parte da chave RSA era validada suficientemente, permitindo que uma chave alternativa especialmente construída fosse aceita em condições em que deveria ter sido rejeitada.
Os detalhes mais importantes para a CVE-2026-67276 são que um atacante precisa conhecer um nome de usuário válido do RouterOS e o módulo público associado à chave RSA SSH autorizada desse usuário. O atacante pode então construir outra chave que passa pelo processo de validação vulnerável e se autenticar sem possuir a chave privada correspondente.
A exploração bem-sucedida dessa falha isoladamente dá ao atacante as mesmas permissões do RouterOS atribuídas à conta personificada. Se o usuário-alvo já tem direitos administrativos, isso pode fornecer controle significativo sobre o dispositivo. Quando as permissões do usuário são mais limitadas, os atacantes podem combinar a falha com a CVE-2026-86060 para escalar ainda mais.
A CVE-2026-86060 origina-se do manuseio inadequado de nomes de usuário SSH especialmente criados, começando com um caractere proibido. A falha permite a manipulação da máscara de política do RouterOS associada à sessão SSH, habilitando o escalonamento de privilégios para direitos administrativos completos. O CERT Polska confirma que explorar as duas fraquezas em conjunto permite a aquisição não autenticada de um dispositivo RouterOS quando o SSH está exposto.
Esta cadeia é especialmente importante porque remove o requisito usual de roubar uma senha de administrador válida ou chave SSH privada. Um ator externo capaz de alcançar o serviço SSH pode se mover de tentativas de autenticação inventadas para uma sessão do RouterOS privilegiada e, em seguida, realizar operações administrativas.
Tentativas de explorar o MikroTik RouterOS em ataques observados focaram-se em dispositivos expondo SSH diretamente para a internet. A MikroTik observa que as configurações padrão de casa geralmente não são expostas imediatamente, mas os administradores que habilitaram SSH público ou mudaram as regras do firewall podem enfrentar um risco substancialmente maior.
A CVE-2026-67276 afeta as seguintes faixas de lançamento do RouterOS:
- RouterOS 7.24 até versões antes da 7.24.2
- RouterOS 7.0.0 até versões antes da 7.23.4
- RouterOS 6.0.0 até versões antes da 6.49.21
O CERT Polska categorizou a vulnerabilidade como CWE-347: Verificação Imprópria de Assinatura Criptográfica. Todos os seis problemas de segurança do RouterOS divulgados na mesma pesquisa compartilham as mesmas amplas faixas de lançamento afetadas.
A vulnerabilidade foi descoberta pelo CERT Polska como parte de uma pesquisa de segurança realizada em coordenação com a MikroTik. Os pesquisadores usaram um ambiente de laboratório baseado em agente suportado por modelos de IA para analisar componentes do RouterOS, comparar versões de software, modelar estados de protocolo e validar hipóteses contra sistemas de teste reais. Cada descoberta foi subsequentemente confirmada manualmente e por meio de testes repetidos antes da divulgação.
A data precisa da descoberta privada não foi publicada. A MikroTik lançou as correções de segurança em 3 de setembro de 2026, enquanto o CERT Polska publicou informações técnicas e os CVEs atribuídos em 5 de setembro. Evidências do mundo real indicam que os atacantes já estavam explorando a cadeia em 2 de setembro, conferindo características de zero-day à campanha.
Pesquisadores confirmaram ataques bem-sucedidos originados de 82.192.72[.]4, com tentativas de exploração também associadas com 103.102.31[.]18. Comprometimentos observados criaram um usuário RouterOS altamente privilegiado chamado ops.
O Security Affairs também reportou infraestrutura em 82.192.72[.]4 hospedando um binário MIPS BusyBox e arquivos nomeados ftpsrv.py, launch.sh e serve.py. As evidências disponíveis ainda não vincularam a atividade a um grupo de ameaça nomeado ou estabeleceram se os roteadores comprometidos estão sendo reunidos em uma botnet, rede de proxy, infraestrutura de espionagem ou outra operação.
A cadeia de ataque observada deixa artefatos particularmente úteis nos logs e histórico de configuração do RouterOS. Tentativas de exploração malsucedidas podem gerar entradas semelhantes a:
falha de login para o usuário -2 de <ip> via ssh
Atividades bem-sucedidas podem aparecer subsequentemente como:
usuário <nome> adicionado por ssh:-2@<ip>
A string -2 é especialmente suspeita porque não é um nome de usuário normal do RouterOS e tem sido associada à exploração da etapa de manipulação de privilégios.
Um PoC público para a CVE-2026-67276 apareceu agora para testes controlados de laboratório da fraqueza de autenticação SSH. Sua disponibilidade reduz ainda mais a barreira para a reprodução independente da falha, reforçando a necessidade de aplicar patches antes que a varredura e exploração se tornem mais disseminadas.
Atualmente, IOCs úteis para a CVE-2026-67276 incluem os dois endereços IP de origem observados, o nome de usuário SSH anormal -2, a conta ops e alterações de configuração atribuídas a ssh:-2@<IP>. O Security Affairs também publicou hashes para vários arquivos recuperados da infraestrutura associada aos atacantes.
Mitigação da CVE-2026-67276
A MikroTik e o CERT Polska recomendam a atualização imediata do RouterOS. As correções estão disponíveis em:
- RouterOS 7.25 beta 3 ou posterior
- RouterOS 7.24.2 ou posterior
- RouterOS 7.23.4 ou posterior
- RouterOS 6.49.21 ou posterior
A MikroTik posteriormente lançou o RouterOS 7.23.5 após uma regressão de DHCP IPv6 ser descoberta na 7.23.4. Portanto, as organizações que usam a ramificação de longo prazo 7.23 devem usar a mais recente versão de manutenção disponível, em vez de parar intencionalmente na 7.23.4.
Após a atualização, o RouterOS realiza uma verificação de inicialização para indicadores conhecidos de alterações não autorizadas na configuração. Se modificações suspeitas forem identificadas, o dispositivo recebe um status Com Bandeira , as entradas de configuração relevantes podem ser desativadas e um aviso crítico é escrito no log do sistema.
Os administradores podem inspecionar este estado com:
/system/device-mode/print
Um resultado Com Bandeira deve ser tratado como evidência de que o dispositivo pode ter sido comprometido. No entanto, tanto a MikroTik quanto o CERT Polska enfatizam que a ausência do marcador Com Bandeira não prova que um roteador está limpo, pois o mecanismo apenas detecta artefatos conhecidos selecionados.
A detecção da CVE-2026-67276 deve, portanto, combinar a verificação de patch com a revisão de logs, inspeção de configuração e análise de contas recentemente criadas e alterações administrativas.
To Para detectar a exploração da CVE-2026-67276 ou atividade MikroTrick relacionada, os defensores devem procurar por:
- falha de login para o usuário -2 … via ssh
- Ações administrativas atribuídas a ssh:-2@<IP>
- Uma conta privilegiada inesperada chamada ops
- Conexões envolvendo 82.192.72[.]4
- Conexões envolvendo 103.102.31[.]18
- Chaves públicas SSH recém-adicionadas ou modificadas
- Usuários desconhecidos ou permissões de usuário alteradas
- Scripts inesperados do RouterOS
- Tarefas de agendador suspeitas
- Proxies ou túneis recém-habilitados
- Modificações inexplicadas de firewall ou NAT
- Configuração de sniffing de pacotes ou encaminhamento de tráfego que os administradores não criaram
- Outras alterações inesperadas de configuração após atividades SSH
Se os administradores não puderem aplicar patches imediatamente, o CERT Polska recomenda desabilitar serviços expostos externamente ou restringi-los exclusivamente a redes de gerenciamento confiáveis. Isso aplica-se particularmente a SSH, WWW/WWW-SSL e o servidor de teste de largura de banda.
Dispositivos não corrigidos também devem evitar iniciar conexões SSH ou TLS para sistemas não confiáveis. O CERT Polska recomenda especificamente evitar os clientes internos /system ssh e /system ssh-exec do RouterOS até que as atualizações sejam instaladas porque outras vulnerabilidades divulgadas na mesma pesquisa afetam a confiança do cliente RouterOS e o manuseio de protocolo.
Essas medidas reduzem a exposição, mas não substituem a atualização do fornecedor.
Se logs, o status Com Bandeira, uma conta ops desconhecida ou outras evidências de configuração sugerirem comprometimento, os administradores devem tratar o roteador como totalmente controlado por um atacante. O dispositivo afetado deve ser isolado, e logs e evidências de configuração relevantes devem ser preservados antes da remediação.
O CERT Polska recomenda então restaurar o dispositivo para as configurações de fábrica e reconstruir a configuração a partir de uma fonte confiável e verificada. Os administradores não devem simplesmente restaurar um backup completo criado de um roteador potencialmente comprometido porque usuários maliciosos, scripts, chaves SSH, entradas de agendador, proxies ou túneis poderiam ser reintroduzidos.
Todas as senhas, chaves SSH, credenciais de API, segredos VPN e outros materiais de autenticação expostos ou armazenados em um dispositivo comprometido também devem ser rotacionados.
A prioridade de mitigação da CVE-2026-67276 é particularmente alta para roteadores que expuseram SSH para a internet pública antes de 3 de setembro. Como ataques ativos começaram antes que a atualização de segurança se tornasse publicamente disponível, corrigir esses sistemas deve ser acompanhado por investigação retrospectiva em vez de ser tratado apenas como manutenção preventiva.
FAQ
O que é a CVE-2026-67276 e como funciona?
A CVE-2026-67276 é um desvio de autenticação de chave pública SSH de alta gravidade no MikroTik RouterOS. O RouterOS não conseguiu comparar completamente uma chave pública RSA autorizada durante a autenticação. Um atacante que conhece um nome de usuário válido e o módulo público de sua chave autorizada pode criar outra chave que o RouterOS aceita incorretamente, permitindo login SSH sem a posse da chave privada legítima. As permissões resultantes correspondem às do usuário-alvo.
Quando a CVE-2026-67276 foi descoberta pela primeira vez?
A data exata da descoberta privada não foi divulgada. O CERT Polska descobriu a questão durante sua pesquisa de segurança no RouterOS e coordenou a remediação com a MikroTik. A MikroTik publicou versões patchadas em 3 de setembro de 2026, enquanto o CERT Polska divulgou publicamente a vulnerabilidade em 5 de setembro. Evidências mostram que a exploração já estava ocorrendo pelo menos desde 2 de setembro.
Qual é o impacto da CVE-2026-67276 nos sistemas?
A exploração bem-sucedida permite que um atacante se passe por um usuário SSH autorizado sem conhecer a chave RSA privada do usuário. O atacante herda os privilégios daquela conta. Quando encadeado com a CVE-2026-86060, o ataque pode proporcionar acesso administrativo completo ao RouterOS sem autenticação prévia, permitindo modificação de usuários, chaves SSH, regras de firewall, scripts, proxies, túneis e outras configurações do dispositivo.
A CVE-2026-67276 ainda pode me afetar em 2026?
Sim. Instalações do RouterOS permanecem vulneráveis se executarem lançamentos afetados e não tiverem recebido as atualizações de segurança de setembro. Dispositivos com SSH acessível da internet pública enfrentam o maior risco imediato porque o CERT Polska confirmou a exploração ativa da cadeia MikroTrick contra exatamente esse tipo de exposição.
Como posso me proteger da CVE-2026-67276?
Atualize imediatamente para RouterOS 7.24.2, o último lançamento de longo prazo 7.23, 6.49.21, 7.25 beta 3 ou uma versão corrigida mais recente adequada para sua implantação. Restrinja o SSH e outros serviços administrativos a redes confiáveis, inspecione o status Com Bandeira e logs, procure usuários desconhecidos e mudanças na configuração, e restaure à configuração de fábrica e reconstrua qualquer dispositivo que mostre evidências de comprometimento.
