O mercado de infraestrutura de redes corporativas frequentemente aposta na robustez dos roteadores MikroTik como um pilar de segurança e estabilidade operacional. No entanto, uma nova onda de ataques, sustentada por falhas críticas no sistema operacional RouterOS, desafia essa crença e coloca em xeque a exposição de dispositivos com SSH acessível pela internet. O consenso entre órgãos de cibersegurança e especialistas é claro: a ameaça é real, explorada ativamente e exige resposta imediata, sobretudo em ambientes empresariais e de provedores de internet.

Vulnerabilidades permitem controle total de roteadores expostos

As falhas, identificadas como CVE-2026-67276 e CVE-2026-86060, afetam o mecanismo de autenticação SSH do RouterOS, conforme detalhado por fontes como o CERT Polska, a Shadowserver Foundation e reportagens do CISO Advisor, Bleeping Computer, TugaTech e SempreUpdate. A primeira vulnerabilidade possibilita que um invasor, conhecendo o nome de usuário e o módulo público de uma chave RSA, crie uma chave alternativa e acesse o roteador sem a chave privada legítima. A segunda, explorando nomes de usuário manipulados, permite elevação de privilégios até o nível administrativo, segundo detalhou o CERT Polska e reforçado por todas as fontes consultadas.

O impacto prático é direto: dispositivos MikroTik com SSH exposto à internet tornam-se alvos para invasores que podem, sem autenticação adequada, assumir o controle total do equipamento. O CERT Polska batizou a cadeia de exploração de “MikroTrick” e confirmou ataques em curso contra dispositivos acessíveis publicamente. A Shadowserver Foundation identificou mais de 122 mil roteadores MikroTik com SSH aberto, número citado por todas as fontes, embora ressaltem que nem todos estejam, necessariamente, vulneráveis ou comprometidos.

Como as falhas são exploradas e o que foi descoberto

O processo de exploração envolve duas etapas: primeiro, o bypass da autenticação SSH (CVE-2026-67276), seguido pela escalada de privilégios (CVE-2026-86060). A descoberta das vulnerabilidades contou com o auxílio de modelos avançados de inteligência artificial, como GPT-5.5-cyber e GPT-5.6-sol, segundo o CERT Polska. O uso de IA acelerou a identificação das falhas, mas a validação dos riscos foi feita em ambiente controlado, como enfatizou o SempreUpdate.

Além dessas duas falhas, uma terceira vulnerabilidade (CVE-2026-67277) afeta o serviço bandwidth-test do RouterOS, permitindo vazamento de memória do kernel ou reinicialização remota do equipamento. O risco adicional aqui é a possibilidade de negação de serviço, cenário preocupante para empresas e provedores que dependem da disponibilidade contínua dos roteadores para manter operações e serviços críticos.

A MikroTik lançou correções em 3 de setembro, com versões específicas do RouterOS (7.25beta3, 7.24.2, 7.23.4 e 6.49.21), segundo detalhado por todas as publicações. As atualizações também incluem um mecanismo de detecção de comprometimento, que analisa alterações não autorizadas e registra avisos críticos nos logs. Contudo, como alertam o CERT Polska e a Shadowserver Foundation, a ausência de alertas nos logs não garante que o dispositivo esteja seguro.

Consenso e divergências entre fontes sobre o alcance do problema

Há consenso entre as fontes sobre a gravidade das falhas e a necessidade de atualização imediata dos equipamentos. Todas destacam que a exposição do SSH à internet é o principal vetor de risco. O número de dispositivos potencialmente expostos, mais de 122 mil, é corroborado pela Shadowserver Foundation e aparece em todos os veículos analisados. No entanto, nenhuma fonte consegue precisar quantos desses dispositivos já foram efetivamente comprometidos, apenas que a exploração ativa está ocorrendo.

O CERT Polska, citado por Bleeping Computer, TugaTech e SempreUpdate, compartilhou indicadores de comprometimento (IoCs) para auxiliar na detecção de invasões, como registros de falha de login para o usuário -2, criação inesperada de contas administrativas (especialmente “ops”) e conexões vindas de IPs específicos associados a ataques. A recomendação é que, na suspeita de comprometimento, o roteador seja isolado, logs preservados e o equipamento restaurado a partir de uma configuração confiável, com rotação de todas as credenciais.

Uma divergência relevante está na avaliação do impacto prático das correções: enquanto a MikroTik destaca que nem todas as configurações são afetadas, não detalha quais seriam menos vulneráveis, optando por não divulgar detalhes para dar tempo aos administradores de aplicar as atualizações. O CERT Polska, por sua vez, enfatiza que medidas paliativas, como restringir ou desabilitar o SSH externo, são apenas temporárias e não substituem a atualização do firmware.

O contra-argumento: exposição não é universal e mitigação é possível?

Alguns administradores podem argumentar que a exposição do SSH à internet não é uma prática padrão em ambientes corporativos bem gerenciados, limitando o alcance do problema. De fato, a própria MikroTik afirma que nem todas as configurações são afetadas. No entanto, o volume de dispositivos com SSH acessível, mais de 122 mil, indica que a superfície de ataque é significativa, inclusive em ambientes empresariais e de provedores, segundo a Shadowserver Foundation.

Outro ponto levantado por especialistas é que, mesmo com SSH restrito, a existência de outras vulnerabilidades, como a do bandwidth-test, amplia o risco. O SempreUpdate ressalta que proteger apenas o SSH não é suficiente, já que múltiplos vetores podem ser explorados em sequência. Além disso, a dependência de logs e mecanismos de detecção pode ser insuficiente, pois atacantes sofisticados podem apagar rastros ou utilizar métodos ainda não documentados.

Por fim, há o risco de complacência: confiar apenas em medidas paliativas pode deixar brechas abertas para ataques futuros, especialmente em ambientes onde a atualização de firmware não é trivial ou depende de janelas de manutenção planejadas.

O que ainda não se sabe e os riscos para empresas e provedores

Apesar do detalhamento técnico das falhas e dos indicadores de comprometimento, permanece uma lacuna importante: não se sabe o número exato de roteadores já comprometidos nem o perfil dos alvos mais visados. As fontes consultadas não identificaram publicamente campanhas direcionadas a setores específicos, mas o histórico de ataques a infraestruturas críticas sugere que empresas, provedores de internet e órgãos públicos devem considerar-se em risco elevado.

Outro ponto em aberto é a velocidade com que os administradores estão aplicando as correções. A experiência de incidentes anteriores mostra que a janela entre a divulgação de uma falha e a atualização efetiva pode ser suficiente para ataques em larga escala. Além disso, não há garantias de que futuras variantes de ataque não explorem outros vetores ainda não documentados, especialmente considerando o uso de inteligência artificial para acelerar a descoberta de vulnerabilidades.

O contexto de negócios de Manaus e do Polo Industrial, onde a conectividade é estratégica para operações industriais, logística e serviços públicos, amplia a criticidade do tema. A dependência de roteadores MikroTik em ambientes de missão crítica exige atenção redobrada à atualização, monitoramento e segmentação de acesso administrativo.

Implicações práticas: o que muda para quem decide em TI e infraestrutura

Para gestores de TI, CISOs, administradores de redes e decisores em empresas e órgãos públicos, o episódio MikroTrick impõe uma revisão imediata das políticas de exposição de serviços administrativos. O SSH jamais deve ser acessível diretamente pela internet, e a atualização do RouterOS para as versões corrigidas é mandatória. Em ambientes onde a atualização não é viável de imediato, a segmentação de acesso por VPN, firewall e redes administrativas confiáveis deve ser implementada sem demora.

Além disso, o incidente reforça a necessidade de monitoramento contínuo de logs, revisão periódica de contas administrativas e validação de configurações, especialmente em ambientes distribuídos ou com múltiplos pontos de acesso remoto. A existência de mecanismos de detecção de comprometimento é um avanço, mas não substitui a análise manual e a resposta estruturada a incidentes.

Empresas que dependem de alta disponibilidade, como indústrias, ISPs e operações logísticas, devem considerar o risco de indisponibilidade causado por ataques que exploram vulnerabilidades como a do bandwidth-test. A avaliação de fornecedores e a escolha de equipamentos com suporte a atualizações rápidas e mecanismos de detecção avançada tornam-se critérios ainda mais relevantes na decisão de compra e renovação de infraestrutura.

O episódio MikroTrick deixa um alerta claro: a confiança cega na robustez de soluções consagradas pode custar caro quando a superfície de ataque é ampliada por práticas de exposição administrativa e atualização deficiente. Em um cenário onde a inteligência artificial acelera tanto a descoberta de falhas quanto a automação de ataques, a capacidade de resposta rápida e a segmentação de acesso administrativo tornam-se diferenciais competitivos e de resiliência operacional.

Na prática, a lição é inequívoca: diante de vulnerabilidades críticas exploradas ativamente, a atualização de firmware e a restrição de acesso administrativo não são apenas boas práticas, mas requisitos mínimos para garantir a continuidade e a segurança das operações empresariais.