O fato: em 3 de setembro de 2026, a MikroTik publicou correções para seis falhas do RouterOS, o sistema dos seus roteadores. Uma delas, a CVE-2026-67279, no SSH, foi vista sendo explorada por atacantes. Em 6 de outubro de 2026, a empresa publicou outro aviso, a CVE-2026-84411, uma falha crítica (nota 9,8) na interface web de administração, o WebFig.
O que fazer agora: atualizar para o RouterOS 7.24.3 (estável) ou 7.23.6 (longo prazo), ou 6.49.21 se o equipamento ainda usa a versão 6, como recomenda a MikroTik, e deixar o SSH e o WebFig acessíveis só pela rede interna.
O que aconteceu em setembro
Segundo a MikroTik, o aviso de setembro reúne seis CVEs. A mais grave para quem tem o roteador exposto é a CVE-2026-67279, no serviço SSH, que é o acesso de administração por linha de comando.
A CERT Polska, equipe de resposta a incidentes da Polônia, descreve o problema como um erro na sequência de etapas do SSH: depois de uma renegociação de chaves, a conexão passa para a fase seguinte sem nunca ter feito a autenticação do usuário. Em linguagem simples: em certas condições, dava para entrar sem senha.
Dois detalhes importantes:
- A primeira correção estava incompleta. As versões 7.23.4 e 7.24.2 trouxeram uma correção parcial. A correção completa está no 7.24.3 e no 7.23.6.
- Versões afetadas, segundo a CERT Polska: da 7.0.0 até antes da 7.23.6, e da 7.24 até antes da 7.24.3.
Pesquisadores também descreveram uma cadeia que junta essa falha com uma segunda (CVE-2026-86060) para chegar ao controle total do equipamento.
O alerta de outubro: WebFig
O aviso de 6 de outubro trata de outra porta de entrada. A CVE-2026-84411 é um erro de conta (integer underflow) no tratamento do corpo das requisições HTTP do serviço de administração web, o que roda nas portas dos serviços www e www-ssl. Segundo a MikroTik, uma única requisição preparada, sem login, pode derrubar o serviço ou executar código com privilégios totais.
- Nota: 9,8 (crítica).
- Correção: RouterOS 7.24 e posteriores.
- Atenção: a falha afeta versões anteriores à 7.24, incluindo o RouterOS 6. Na data de publicação do aviso, as correções para as linhas de longo prazo (v7 e v6) ainda estavam pendentes.
Entre o aviso de setembro e o de outubro passaram 33 dias. Quem atualizou em setembro para o 7.24.3 já está numa versão 7.24 ou posterior; quem ficou na linha de longo prazo precisa acompanhar a página de avisos de segurança.
Quem precisa se preocupar
O risco é maior para quem tem o SSH ou o WebFig abertos para a internet. Isso é comum em três situações:
- Acesso remoto do técnico. O instalador deixou a porta aberta para administrar de fora.
- Provedores pequenos que usam MikroTik como concentrador ou roteador de borda.
- Escritórios que usam o roteador como firewall e liberaram a administração "só por enquanto".
Se o seu MikroTik só é administrado de dentro da rede, o risco cai bastante, mas a atualização continua necessária: um computador infectado na rede interna também pode tentar explorar a falha.
A conta: quem pode administrar o roteador
A MikroTik recomenda que o SSH e o WebFig não fiquem abertos para redes não confiáveis. No RouterOS, cada serviço (ssh, www, www-ssl, winbox) aceita uma lista de endereços autorizados. O caminho mais simples é liberar só a rede interna, e o mais seguro é liberar só um pequeno bloco de IPs dos computadores de administração.
Opção 1: a rede interna inteira. Na configuração padrão de muitos MikroTik, a rede interna é 192.168.88.0/24:
- Faixa:
192.168.88.0a192.168.88.255, máscara255.255.255.0. - Aparelhos que cabem: 254. Todos eles poderiam tentar acessar a administração.
Opção 2: um bloco só para administração. Para 5 computadores de administração, a menor rede que cabe é /29 (6 IPs livres, máscara 255.255.255.248). Começando em 192.168.88.8:
| Item | Valor |
|---|---|
| Bloco | 192.168.88.8/29 |
| Máscara | 255.255.255.248 |
| Primeiro IP livre | 192.168.88.9 |
| Último IP livre | 192.168.88.14 |
| Broadcast | 192.168.88.15 |
| Aparelhos | 6 |
Fixe os IPs desses computadores dentro da faixa (por reserva no DHCP) e coloque 192.168.88.8/29 como endereço autorizado nos serviços de administração. Assim, em vez de 254 aparelhos, só 6 endereços chegam ao SSH e ao WebFig. O guia IP fixo ou DHCP: como reservar uma faixa de IPs explica a reserva passo a passo.
Passo a passo depois do aviso
- Veja a versão. No WinBox, no WebFig ou no terminal, confira a versão do RouterOS em System › Resources ou com
/system resource print. - Atualize. Para 7.24.3 (estável) ou 7.23.6 (longo prazo), ou 6.49.21 na linha 6. Faça backup da configuração antes.
- Feche a administração para fora. Desative os serviços que você não usa e limite os outros à rede interna, como na conta acima.
- Procure sinais de invasão. A MikroTik orienta conferir se há usuários ou scripts desconhecidos. A CERT Polska lista como indícios o usuário
-2e a contaops. Confira com/user printe a lista de scripts e agendamentos. - Lembre que atualizar não desfaz invasão. Se alguém entrou antes, a atualização fecha a porta, mas não apaga o que foi mudado. Em caso de dúvida, restaure uma configuração confiável ou reinstale.
E quem não usa MikroTik?
A lição vale para qualquer roteador: a página de administração não deve ficar aberta para a internet. Em roteadores domésticos, isso costuma aparecer como "gerenciamento remoto" ou "acesso remoto". Se você não usa, desligue.
Perguntas rápidas
Meu provedor instalou um MikroTik. Preciso fazer algo?
Pergunte ao provedor se o equipamento já está no 7.24.3 ou 7.23.6 e se o acesso de administração está limitado. Se o roteador é seu e você tem a senha, você mesmo pode conferir a versão.
Usar outra porta para o SSH resolve?
Não. Trocar a porta só esconde o serviço de varreduras simples. A proteção real é a versão corrigida e a lista de endereços autorizados.
O WinBox também está em risco?
Os avisos citados tratam do SSH e do serviço web (WebFig). A recomendação geral, porém, vale para todos os serviços de administração: liberar só para a rede interna.
Na calculadora abaixo, já preenchida com 192.168.88.8/29, você confere a faixa do seu bloco de administração.
