• O prazo de 13 de setembro da CISA para correção expirou para a falha do RouterOS CVE-2026-86060, explorada ativamente
  • Instalar a correção interrompe a rota de ataque observada, mas não estabelece se o roteador foi alterado antes da correção

O fato

O prazo de 13 de setembro da Cybersecurity and Infrastructure Security Agency dos Estados Unidos expirou para o CVE-2026-86060, uma falha de escalonamento de privilégios do MikroTik RouterOS adicionada ao seu catálogo de vulnerabilidades exploradas conhecidas em 10 de setembro. O prazo se aplica a agências federais civis cobertas, não a todos os operadores de MikroTik.

A CERT Polska informou que invasores vinham usando uma cadeia de falhas do RouterOS contra dispositivos cujo serviço de gerenciamento SSH estava acessível a partir de redes públicas. Confirmou que as correções lançadas interrompem os ataques que observou. A MikroTik lista as versões corrigidas 7.24.2, 7.23.4 e 6.49.21, com o 7.25 beta 3 também trazendo a correção.

Versões atualizadas do RouterOS podem marcar determinados sinais de alterações não autorizadas como "Flagged", mas a CERT Polska e a MikroTik alertam que a ausência de uma marcação não comprova que o dispositivo está limpo. Administradores são orientados a inspecionar as configurações após a atualização.

A avaliação

Atualizar muda o que um invasor pode fazer em seguida; não reconstitui o que aconteceu antes da atualização. Isso importa para um roteador que estava exposto antes de ser corrigido. O tráfego pode continuar normalmente mesmo que alguém tenha adicionado uma conta, script ou outra alteração administrativa em segundo plano.

Os operadores, portanto, têm mais a verificar do que a versão do RouterOS. A CERT Polska aponta usuários desconhecidos, scripts, entradas do agendador, servidores proxy e túneis como itens de configuração que valem revisão. Onde houver suspeita de comprometimento, recomenda preservar evidências, isolar o dispositivo e recuperar a partir de uma configuração confiável, em vez de restaurar automaticamente um backup que pode já conter a alteração indesejada.

Para os leitores da BTW, o incidente é encerrado de forma mais convincente quando o roteador está tanto corrigido quanto devolvido a um estado confiável e revisado. Um dispositivo permanecendo online demonstra continuidade; não estabelece quem ainda controla sua configuração.

O que acompanhar

Acompanhe se os operadores relatam revisões de comprometimento, além da conclusão da correção, especialmente para roteadores que expuseram SSH a redes públicas. Orientações adicionais da MikroTik ou da CERT Polska podem acrescentar indicadores de comprometimento ou etapas de recuperação à medida que mais ataques forem analisados. Reconstruções confirmadas a partir de configurações confiáveis forneceriam evidências mais fortes de recuperação do que apenas o tempo de atividade.