CVE-2026-86060: MikroTik RouterOS sob exploração ativa — Alerta Alto

A CVE-2026-86060 exploração ativa vulnerabilidade em equipamentos MikroTik RouterOS acaba de ser adicionada ao catálogo KEV (Known Exploited Vulnerabilities) da CISA, sinalizando que criminosos e possíveis atores de estado-nação já utilizam a falha em ataques reais. O cenário desta sexta-feira, 11 de setembro de 2026, é particularmente tenso: a Microsoft quebrou recorde histórico de Patch Tuesday com 974 CVEs publicados, o ecossistema de redes sofre com múltiplos zero-days simultâneos e dispositivos de borda — roteadores, firewalls e controladoras — voltaram a ser o alvo preferencial de campanhas de intrusão. A exploração ativa da falha em RouterOS coloca provedores de internet, data centers, redes corporativas e ambientes industriais em estado de alerta máximo.

O MikroTik RouterOS é amplamente utilizado em infraestrutura de rede de pequeno e médio porte, além de provedores regionais e ambientes de telecom. Sua popularidade, combinada com a exposição frequente à internet — interfaces de gerenciamento Winbox, WebFig e SSH — torna cada vulnerabilidade crítica um vetor de comprometimento em massa. No caso da CVE-2026-86060, o problema não está apenas na gravidade técnica, mas na janela de proteção já encerrada: por ser um zero-day em exploração ativa, as equipes de segurança não dispõem de tempo para testar mitigações gradualmente. A correção precisa entrar em produção agora.

O alerta da CISA KEV não é um aviso teórico. Significa que há confirmação de que a vulnerabilidade está sendo usada para invadir sistemas reais, escalar privilégios e comprometer a integridade de infraestrutura de rede. A postura recomendada para profissionais de TI é tratar cada dispositivo MikroTik como potencialmente comprometido até que se prove o contrário. A janela de contenção é curta, e a falha é particularmente perigosa por permitir que um atacante altere a política de confiança do RouterOS, obtendo controle administrativo total.

Neste artigo técnico, detalhamos a natureza da falha, o vetor de ataque, os produtos afetados, o impacto real para empresas e um passo a passo completo de mitigação. Na JRT Technology Solutions implementamos varredura contínua de CVEs para frotas corporativas e já colocamos a CVE-2026-86060 como prioridade crítica no monitoramento de nossos clientes. Nosso SOC monitora alertas CISA KEV em tempo real e recomenda ação imediata para todos os ambientes com RouterOS exposto.

O que é a CVE-2026-86060 e a exploração ativa vulnerabilidade no RouterOS

A CVE-2026-86060 é uma vulnerabilidade de neutralização inadequada de delimitadores de argumentos em um comando (CWE-88). Em termos práticos, o RouterOS processa determinados comandos sem validar corretamente separadores e delimitadores enviados pelo usuário. Um atacante que consiga interagir com o sistema — mesmo com privilégios limitados — pode injetar argumentos maliciosos e alterar a policy mask, o mecanismo interno que define quais permissões um usuário ou processo possui. Ao manipular essa máscara, o atacante eleva seus privilégios a nível administrativo, ganhando controle total do roteador.

A falha não exige autenticação prévia em cenários onde serviços de gerenciamento estejam expostos sem controle de acesso adequado. Mesmo quando há autenticação, credenciais fracas, vazadas ou obtidas por phishing podem permitir que o atacante utilize a própria sessão legítima para disparar a exploração. A CISA classifica a vulnerabilidade como de remediação urgente, exigindo ação em até 14 dias para órgãos federais dos EUA — mas para redes privadas, a recomendação é tratar como prioridade imediata.

Análise técnica detalhada da CVE-2026-86060

O RouterOS possui um subsistema de políticas de permissão baseado em policy masks, que funcionam como máscaras de bits atribuídas a usuários, grupos e processos. Cada bit define acesso a diferentes funções: leitura, escrita, configuração de firewall, gerenciamento de usuários, VPN, roteamento, entre outras. A vulnerabilidade CVE-2026-86060 reside na forma como o interpretador de comandos do RouterOS processa delimitadores de argumentos — como vírgulas, espaços e caracteres especiais — sem sanitização adequada.

Um atacante que consiga submeter um comando malformado pode fazê-lo conter argumentos adicionais que alteram a máscara de política do próprio usuário ou de processos do sistema. Uma vez elevado a nível full (equivalente a administrador total), o atacante pode criar usuários persistentes, modificar rotas, capturar tráfego, instalar scripts maliciosos, desabilitar firewalls e até mesmo usar o roteador como ponte para ataques internos. Como o RouterOS é o núcleo operacional de dispositivos MikroTik, o comprometimento equivale a entregar as chaves da rede.

Do ponto de vista de exploração, não há necessidade de vulnerabilidade em componentes externos: a falha é autônoma e pode ser disparada por qualquer vetor que permita executar comandos no CLI — Winbox, SSH, API ou mesmo scripts agendados. A severidade 8.8 (HIGH) no CVSS 3.1 reflete o vetor de rede, baixa complexidade de ataque, ausência de interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade. O vetor CVSS é AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.

A ausência de neutralização correta de delimitadores é uma classe de falha frequentemente subestimada, mas extremamente perigosa em sistemas embarcados e appliances de rede. A complexidade para explorar é baixa, e ferramentas de automação podem facilmente incorporar payloads adaptados. O fato de a CISA tê-la incluído no catálogo KEV confirma que não se trata de uma prova de conceito acadêmica: há campanhas ativas tirando proveito da falha.

Produtos e versões afetados pela CVE-2026-86060

Todos os dispositivos MikroTik que executam versões vulneráveis do RouterOS estão expostos. A MikroTik já liberou correções nas branches estáveis e LTS (Long Term Support). Versões obsoletas, configurações desatualizadas ou equipamentos fora de contrato de suporte são os principais focos de risco. Os produtos afetados incluem, mas não se limitam a:

• 🟠 Alto — RouterOS versões 7.x anteriores à correção: comprometimento total via escalação de privilégios.
• 🟠 Alto — RouterOS versões 6.x LTS antigas: suscetíveis à mesma classe de falha, especialmente builds de ISP.
• 🟡 Médio — Dispositivos com serviços de gerenciamento expostos à WAN: Winbox, WebFig, SSH ou API sem restrição de IP aumentam a superfície de ataque.
• 🟡 Médio — Equipamentos MikroTik como CCR, hAP, hEX, LtAP, Chateau, Audience, DynaDish, LDF, mANT e RB: todos compartilham a base RouterOS e herdam a vulnerabilidade se não atualizados.

Além da CVE-2026-86060, a CISA incluiu hoje a CVE-2026-67277 — também em MikroTik RouterOS — relacionada à ausência de autenticação no serviço btest, permitindo vazamento de memória do kernel e negação de serviço. As duas falhas podem ser encadeadas em ataques combinados: primeiro o atacante obtém leitura de memória, depois utiliza a escalação de privilégios da CVE-2026-86060 para controle total. Essa possibilidade de encadeamento torna o patching ainda mais urgente.

Como funciona o ataque: exploração ativa vulnerabilidade na prática

O cenário de ataque típico da CVE-2026-86060 exploração ativa vulnerabilidade começa com a enumeração de dispositivos MikroTik expostos na internet. Ferramentas de varredura como Shodan, Censys e scripts automatizados identificam interfaces de gerenciamento abertas. A partir daí, o ataque pode seguir os seguintes passos:

1. Reconhecimento: o atacante identifica portas TCP/8291 (Winbox), TCP/80 e TCP/443 (WebFig), TCP/22 (SSH) ou API REST em dispositivos MikroTik, coletando versões do RouterOS.
2. Acesso inicial: usa credenciais fracas, padrão, vazadas ou obtidas por phishing para se autenticar com usuário de baixo privilégio. Em cenários sem autenticação forte, pode explorar a CVE-2026-67277 para obter informações de memória.
3. Exploração da CWE-88: envia comandos especialmente elaborados contendo delimitadores maliciosos que alteram a policy mask do usuário atual para nível administrativo completo.
4. Persistência: cria usuários ocultos com privilégios administrativos, agenda scripts para execução periódica e habilita backdoors via VPN, port forwarding ou acesso remoto.
5. Pivotamento: utiliza o roteador comprometido como ponte para alcançar redes internas, interceptar tráfego, redirecionar pacotes ou montar ataques man-in-the-middle.
6. Exfiltração e dano: coleta credenciais, sequestra sessões, desabilita regras de firewall, altera rotas e pode incorporar o equipamento a botnets para DDoS.

Grupos de ameaça que historicamente visam dispositivos de rede, como botnets do tipo Mēris e VPNFilter, e atores de estado-nação com foco em espionagem de infraestrutura — incluindo campanhas chinesas como a UNC3569, recentemente associada ao comprometimento do método de entrada Sogou e à implantação do backdoor GRAYRABBIT — demonstram que roteadores de borda são alvos estratégicos. A exploração ativa da CVE-2026-86060 se encaixa nesse perfil: controle silencioso, persistente e de alto valor para interceptação de tráfego.

Impacto real para empresas: por que a exploração ativa vulnerabilidade é crítica

O impacto da CVE-2026-86060 exploração ativa vulnerabilidade vai muito além da invasão de um único equipamento. Como o RouterOS frequentemente opera na borda da rede — concentrando VPNs, firewalls, NAT, roteamento e QoS — o comprometimento desse ativo entrega ao atacante um ponto privilegiado de observação e controle. As consequências para empresas incluem:

• 🔴 Crítico — Interceptação de tráfego e espionagem corporativa: o atacante pode capturar pacotes, redirecionar fluxos e quebrar sigilo de comunicações internas e externas.
• 🔴 Crítico — Interrupção de conectividade e continu