# Falhas críticas no SSH de roteadores MikroTik expõem mais de 122 mil dispositivos a controle remoto por hackers

> Vulnerabilidades críticas no SSH de roteadores MikroTik expõem mais de 122 mil dispositivos a ataques. Saiba os riscos e o que muda para empresas.

Publicado em 08/09/2026 · Atualizado em 08/09/2026 · Continuidade & SLA
ATLAS · Tech & Business Review, portal editorial da Upnetix · https://atlas.upnetix.com.br/falhas-criticas-no-ssh-de-roteadores-mikrotik-expoem-mais/

---

O mercado de infraestrutura de redes corporativas frequentemente aposta na robustez dos roteadores MikroTik como um pilar de segurança e estabilidade operacional. No entanto, uma nova onda de ataques, sustentada por falhas críticas no sistema operacional RouterOS, desafia essa crença e coloca em xeque a exposição de dispositivos com SSH acessível pela internet. O consenso entre órgãos de cibersegurança e especialistas é claro: a ameaça é real, explorada ativamente e exige resposta imediata, sobretudo em ambientes empresariais e de provedores de internet.

![Roteador MikroTik em rack de servidores em data center corporativo.](https://upnetix.com.br/wp-content/uploads/2026/09/post19023-img1-intro.webp)

Roteadores MikroTik são pilares da infraestrutura de redes corporativas, mas falhas críticas no RouterOS expõem dispositivos a ataques remotos.

## Vulnerabilidades permitem controle total de roteadores expostos

As falhas, identificadas como CVE-2026-67276 e CVE-2026-86060, afetam o mecanismo de autenticação SSH do RouterOS, conforme detalhado por fontes como o CERT Polska, a Shadowserver Foundation e reportagens do CISO Advisor, Bleeping Computer, TugaTech e SempreUpdate. A primeira vulnerabilidade possibilita que um invasor, conhecendo o nome de usuário e o módulo público de uma chave RSA, crie uma chave alternativa e acesse o roteador sem a chave privada legítima. A segunda, explorando nomes de usuário manipulados, permite elevação de privilégios até o nível administrativo, segundo detalhou o CERT Polska e reforçado por todas as fontes consultadas.

O impacto prático é direto: dispositivos MikroTik com SSH exposto à internet tornam-se alvos para invasores que podem, sem autenticação adequada, assumir o controle total do equipamento. O CERT Polska batizou a cadeia de exploração de “MikroTrick” e confirmou ataques em curso contra dispositivos acessíveis publicamente. A Shadowserver Foundation identificou mais de 122 mil roteadores MikroTik com SSH aberto, número citado por todas as fontes, embora ressaltem que nem todos estejam, necessariamente, vulneráveis ou comprometidos.

## Como as falhas são exploradas e o que foi descoberto

O processo de exploração envolve duas etapas: primeiro, o bypass da autenticação SSH (CVE-2026-67276), seguido pela escalada de privilégios (CVE-2026-86060). A descoberta das vulnerabilidades contou com o auxílio de modelos avançados de inteligência artificial, como GPT-5.5-cyber e GPT-5.6-sol, segundo o CERT Polska. O uso de IA acelerou a identificação das falhas, mas a validação dos riscos foi feita em ambiente controlado, como enfatizou o SempreUpdate.

Além dessas duas falhas, uma terceira vulnerabilidade (CVE-2026-67277) afeta o serviço bandwidth-test do RouterOS, permitindo vazamento de memória do kernel ou reinicialização remota do equipamento. O risco adicional aqui é a possibilidade de negação de serviço, cenário preocupante para empresas e provedores que dependem da disponibilidade contínua dos roteadores para manter operações e serviços críticos.

A MikroTik lançou correções em 3 de setembro, com versões específicas do RouterOS (7.25beta3, 7.24.2, 7.23.4 e 6.49.21), segundo detalhado por todas as publicações. As atualizações também incluem um mecanismo de detecção de comprometimento, que analisa alterações não autorizadas e registra avisos críticos nos logs. Contudo, como alertam o CERT Polska e a Shadowserver Foundation, a ausência de alertas nos logs não garante que o dispositivo esteja seguro.

## Consenso e divergências entre fontes sobre o alcance do problema

![Tela de computador mostrando código e análise de vulnerabilidades SSH em roteadores.](https://upnetix.com.br/wp-content/uploads/2026/09/post19023-img2-meio-1.webp)

Exploração das falhas CVE-2026-67276 e CVE-2026-86060 permite invasores acessarem e controlarem roteadores MikroTik via SSH. Há consenso entre as fontes sobre a gravidade das falhas e a necessidade de atualização imediata dos equipamentos. Todas destacam que a exposição do SSH à internet é o principal vetor de risco. O número de dispositivos potencialmente expostos, mais de 122 mil, é corroborado pela Shadowserver Foundation e aparece em todos os veículos analisados. No entanto, nenhuma fonte consegue precisar quantos desses dispositivos já foram efetivamente comprometidos, apenas que a exploração ativa está ocorrendo.

O CERT Polska, citado por Bleeping Computer, TugaTech e SempreUpdate, compartilhou indicadores de comprometimento (IoCs) para auxiliar na detecção de invasões, como registros de falha de login para o usuário -2, criação inesperada de contas administrativas (especialmente “ops”) e conexões vindas de IPs específicos associados a ataques. A recomendação é que, na suspeita de comprometimento, o roteador seja isolado, logs preservados e o equipamento restaurado a partir de uma configuração confiável, com rotação de todas as credenciais.

Uma divergência relevante está na avaliação do impacto prático das correções: enquanto a MikroTik destaca que nem todas as configurações são afetadas, não detalha quais seriam menos vulneráveis, optando por não divulgar detalhes para dar tempo aos administradores de aplicar as atualizações. O CERT Polska, por sua vez, enfatiza que medidas paliativas, como restringir ou desabilitar o SSH externo, são apenas temporárias e não substituem a atualização do firmware.

## O contra-argumento: exposição não é universal e mitigação é possível?

Alguns administradores podem argumentar que a exposição do SSH à internet não é uma prática padrão em ambientes corporativos bem gerenciados, limitando o alcance do problema. De fato, a própria MikroTik afirma que nem todas as configurações são afetadas. No entanto, o volume de dispositivos com SSH acessível, mais de 122 mil, indica que a superfície de ataque é significativa, inclusive em ambientes empresariais e de provedores, segundo a Shadowserver Foundation.

Outro ponto levantado por especialistas é que, mesmo com SSH restrito, a existência de outras vulnerabilidades, como a do bandwidth-test, amplia o risco. O SempreUpdate ressalta que proteger apenas o SSH não é suficiente, já que múltiplos vetores podem ser explorados em sequência. Além disso, a dependência de logs e mecanismos de detecção pode ser insuficiente, pois atacantes sofisticados podem apagar rastros ou utilizar métodos ainda não documentados.

Por fim, há o risco de complacência: confiar apenas em medidas paliativas pode deixar brechas abertas para ataques futuros, especialmente em ambientes onde a atualização de firmware não é trivial ou depende de janelas de manutenção planejadas.

## O que ainda não se sabe e os riscos para empresas e provedores

![Mapa do Brasil indicando localização dos roteadores MikroTik com SSH aberto.](https://upnetix.com.br/wp-content/uploads/2026/09/post19023-img3-meio-2.webp)

Mais de 122 mil dispositivos MikroTik com SSH exposto à internet foram identificados pela Shadowserver Foundation no Brasil. Apesar do detalhamento técnico das falhas e dos indicadores de comprometimento, permanece uma lacuna importante: não se sabe o número exato de roteadores já comprometidos nem o perfil dos alvos mais visados. As fontes consultadas não identificaram publicamente campanhas direcionadas a setores específicos, mas o histórico de ataques a infraestruturas críticas sugere que empresas, provedores de internet e órgãos públicos devem considerar-se em risco elevado.

Outro ponto em aberto é a velocidade com que os administradores estão aplicando as correções. A experiência de incidentes anteriores mostra que a janela entre a divulgação de uma falha e a atualização efetiva pode ser suficiente para ataques em larga escala. Além disso, não há garantias de que futuras variantes de ataque não explorem outros vetores ainda não documentados, especialmente considerando o uso de inteligência artificial para acelerar a descoberta de vulnerabilidades.

O contexto de negócios de Manaus e do Polo Industrial, onde a conectividade é estratégica para operações industriais, logística e serviços públicos, amplia a criticidade do tema. A dependência de roteadores MikroTik em ambientes de missão crítica exige atenção redobrada à atualização, monitoramento e segmentação de acesso administrativo.

## Implicações práticas: o que muda para quem decide em TI e infraestrutura

Para gestores de TI, CISOs, administradores de redes e decisores em empresas e órgãos públicos, o episódio MikroTrick impõe uma revisão imediata das políticas de exposição de serviços administrativos. O SSH jamais deve ser acessível diretamente pela internet, e a atualização do RouterOS para as versões corrigidas é mandatória. Em ambientes onde a atualização não é viável de imediato, a segmentação de acesso por VPN, firewall e redes administrativas confiáveis deve ser implementada sem demora.

Além disso, o incidente reforça a necessidade de monitoramento contínuo de logs, revisão periódica de contas administrativas e validação de configurações, especialmente em ambientes distribuídos ou com múltiplos pontos de acesso remoto. A existência de mecanismos de detecção de comprometimento é um avanço, mas não substitui a análise manual e a resposta estruturada a incidentes.

Empresas que dependem de alta disponibilidade, como indústrias, ISPs e operações logísticas, devem considerar o risco de indisponibilidade causado por ataques que exploram vulnerabilidades como a do bandwidth-test. A avaliação de fornecedores e a escolha de equipamentos com suporte a atualizações rápidas e mecanismos de detecção avançada tornam-se critérios ainda mais relevantes na decisão de compra e renovação de infraestrutura.

O episódio MikroTrick deixa um alerta claro: a confiança cega na robustez de soluções consagradas pode custar caro quando a superfície de ataque é ampliada por práticas de exposição administrativa e atualização deficiente. Em um cenário onde a inteligência artificial acelera tanto a descoberta de falhas quanto a automação de ataques, a capacidade de resposta rápida e a segmentação de acesso administrativo tornam-se diferenciais competitivos e de resiliência operacional.

![Profissional de TI atualizando firmware RouterOS em computador.](https://upnetix.com.br/wp-content/uploads/2026/09/post19023-img4-fechamento.webp)

Correções lançadas pela MikroTik em setembro incluem atualizações do RouterOS e mecanismos para detecção de comprometimentos em roteadores. Na prática, a lição é inequívoca: diante de vulnerabilidades críticas exploradas ativamente, a atualização de firmware e a restrição de acesso administrativo não são apenas boas práticas, mas requisitos mínimos para garantir a continuidade e a segurança das operações empresariais.

Fonte: https://atlas.upnetix.com.br/falhas-criticas-no-ssh-de-roteadores-mikrotik-expoem-mais/ · ATLAS, portal editorial da Upnetix (Manaus, Brasil) · uso com citação obrigatória.