This post is also available in: Português
A CVE-2026-67277 é uma vulnerabilidade de alta severidade identificada no MikroTik RouterOS que pode permitir a um atacante não autenticado provocar a divulgação de informações presentes na memória do kernel e, em determinadas condições, causar uma reinicialização do sistema. O problema está relacionado ao serviço de teste de largura de banda, conhecido como btest, que pode aceitar uma conexão em um estado anterior à conclusão da autenticação da sessão principal.
A falha recebeu pontuação 8.8 no CVSS 4.0, sendo classificada como de alta severidade. Na avaliação CVSS 3.1, a vulnerabilidade alcança 9.1, classificada como crítica, devido principalmente à possibilidade de exploração remota, sem autenticação ou interação do usuário, com impacto elevado sobre a disponibilidade e confidencialidade do sistema.
O problema afeta diferentes versões do RouterOS e foi corrigido pela MikroTik nas versões 6.49.21 Long-term, 7.23.4 Long-term e 7.24.2 Stable. Diante da relevância das vulnerabilidades descobertas no mesmo período e da confirmação de ataques contra dispositivos RouterOS expostos à internet, a atualização dos equipamentos deve ser tratada como uma medida prioritária de segurança.
O que é a MikroTik?
A MikroTik é uma fabricante de equipamentos e soluções para redes, conhecida por seus roteadores, switches, dispositivos wireless e soluções destinadas tanto a ambientes domésticos quanto corporativos e de provedores de serviços.
Um dos principais componentes de seu ecossistema é o RouterOS, sistema operacional baseado no kernel Linux utilizado nos equipamentos MikroTik. A plataforma reúne recursos de roteamento, firewall, VPN, gerenciamento de banda, redes sem fio, monitoramento, automação e outros serviços de infraestrutura de rede. O RouterOS também pode ser instalado em computadores compatíveis e utilizado em ambientes virtualizados por meio do Cloud Hosted Router, conhecido como CHR.
Essa ampla utilização faz com que vulnerabilidades no RouterOS mereçam atenção especial. Um equipamento de rede comprometido pode representar um ponto de entrada ou persistência dentro de uma infraestrutura, além de desempenhar funções essenciais para conectividade, filtragem de tráfego, VPN e controle de acesso.
O que é a CVE-2026-67277?
A CVE-2026-67277 está relacionada ao serviço bandwidth-test, ou btest, do RouterOS. Esse recurso permite realizar testes de desempenho e largura de banda entre equipamentos compatíveis.
Segundo o CERT Polska, o RouterOS apresentava uma falha na lógica de autenticação que permitia que uma conexão do tipo “related” fosse aceita antes que a sessão primária correspondente tivesse concluído seu processo de autenticação. Com isso, um cliente não autenticado poderia alcançar um estado que deveria estar disponível somente depois da autenticação.
A partir desse estado, o atacante poderia iniciar um teste UDP IPv4. Quando utilizado com a configuração random-data=false, o serviço poderia transmitir uma parte não inicializada de um buffer de pacotes do kernel.
Na prática, isso cria uma condição em que dados residuais presentes na memória do kernel podem ser enviados para o solicitante. Dependendo do conteúdo existente naquele espaço de memória, informações que não deveriam ser acessíveis ao atacante podem acabar sendo expostas.
O problema não se limita à divulgação de memória. A vulnerabilidade também envolve uma falha na validação do intervalo utilizado para determinar o tamanho dos pacotes. Um intervalo invertido e não validado adequadamente pode provocar um integer underflow, fazendo com que um valor negativo seja interpretado como um número inteiro sem sinal extremamente elevado.
O resultado pode ser a geração de uma saída fragmentada de tamanho anormal, levando à instabilidade do kernel e, em determinadas condições, à reinicialização do dispositivo.
Como a vulnerabilidade funciona?
A exploração da CVE-2026-67277 está associada a duas condições técnicas que se complementam.
A primeira está relacionada ao fluxo de autenticação do serviço btest. O RouterOS aceitava uma conexão relacionada antes que a sessão principal correspondente tivesse concluído a autenticação. Isso permitia que um cliente não autenticado alcançasse funcionalidades que deveriam estar condicionadas à autenticação.
A segunda envolve o processamento dos dados enviados pelo teste UDP. Com random-data=false, o serviço poderia utilizar uma área de memória que continha uma parte não inicializada do buffer de pacotes. Como essa região não havia sido devidamente inicializada antes de ser transmitida, seu conteúdo poderia revelar dados residuais da memória do kernel.
Paralelamente, a validação inadequada do intervalo relacionado ao tamanho dos pacotes poderia provocar um estouro negativo de inteiro sem sinal. O processamento subsequente poderia produzir uma quantidade anormal de dados fragmentados e comprometer a estabilidade do sistema.
Dessa forma, a CVE-2026-67277 combina uma falha de controle de acesso com problemas de gerenciamento e validação de memória, criando condições tanto para disclosure de memória do kernel quanto para negação de serviço remoto.
CWE-306: ausência de autenticação para função crítica
A vulnerabilidade foi classificada pelo CERT Polska como CWE-306, Missing Authentication for Critical Function, categoria utilizada para problemas em que uma função considerada crítica pode ser acessada sem que o usuário tenha passado pelo mecanismo de autenticação esperado.
No caso da CVE-2026-67277, essa condição está diretamente relacionada à possibilidade de uma conexão btest relacionada ser processada antes da conclusão da autenticação da sessão principal.
Esse tipo de falha é especialmente relevante em equipamentos de infraestrutura porque serviços de rede podem estar acessíveis remotamente. Quando uma funcionalidade crítica pode ser alcançada sem autenticação, a superfície de ataque aumenta significativamente, principalmente quando o equipamento possui exposição direta à internet.
Produtos e versões afetadas
A CVE-2026-67277 afeta o MikroTik RouterOS em diferentes linhas de versões. De acordo com o CERT Polska, são vulneráveis as versões a partir de 6.0.0 anteriores à 6.49.21, versões 7.0.0 anteriores à 7.23.4 e versões 7.24 anteriores à 7.24.2.
A MikroTik disponibilizou correções nos seguintes releases:
- RouterOS 6.49.21, no canal Long-term.
- RouterOS 7.23.4, no canal Long-term.
- RouterOS 7.24.2, no canal Stable.
A MikroTik também disponibilizou a correção no canal de desenvolvimento, na versão 7.25 beta 3.
É importante observar que o ecossistema RouterOS possui diferentes arquiteturas de hardware e também pode ser executado em ambientes x86 e virtualizados. Portanto, a verificação da versão instalada deve ser feita diretamente nos equipamentos e instâncias utilizados pela organização. A documentação oficial confirma que RouterOS pode operar tanto em hardware MikroTik quanto em dispositivos compatíveis e máquinas virtuais.
CVE-2026-67277 e o cenário de ataques contra RouterOS
A importância dessa vulnerabilidade aumentou diante da descoberta de outras falhas no mesmo conjunto de atualizações de segurança de setembro de 2026.
O CERT Polska identificou seis vulnerabilidades no RouterOS e confirmou que atacantes estavam explorando uma combinação de falhas para assumir o controle de dispositivos cujo serviço SSH estava acessível a partir da internet. Essa combinação recebeu o nome de MikroTrick.
Entre as vulnerabilidades envolvidas diretamente nessa cadeia estão a CVE-2026-67276, relacionada a um bypass de autenticação SSH, e a CVE-2026-86060, que pode permitir manipulação de privilégios durante uma sessão SSH. Ambas receberam CVSS 9.2 segundo o CERT Polska.
A CVE-2026-67277 faz parte do mesmo conjunto de vulnerabilidades descobertas no RouterOS, mas é importante diferenciar os cenários: a confirmação pública do CERT Polska sobre exploração ativa está relacionada à combinação de vulnerabilidades utilizada para comprometimento de dispositivos com SSH exposto. Isso não significa, por si só, que cada uma das seis vulnerabilidades esteja sendo explorada individualmente nos mesmos ataques.
Ainda assim, a situação reforça a necessidade de tratar a atualização como uma ação de segurança prioritária. A própria MikroTik classificou a atualização de setembro como importante e recomendou a instalação das versões corrigidas.
Impactos para ambientes corporativos
Em uma organização, o comprometimento ou a indisponibilidade de um roteador pode gerar consequências que vão muito além da interrupção temporária da conectividade.
Equipamentos RouterOS podem desempenhar funções relacionadas ao roteamento entre redes, firewall, VPN, controle de tráfego, conectividade de filiais, acesso remoto e outros componentes importantes da infraestrutura. Uma reinicialização provocada por exploração pode interromper serviços dependentes daquele equipamento.
Já a possibilidade de divulgação de informações da memória do kernel representa outro risco. Embora a vulnerabilidade não seja descrita como um mecanismo direto de execução arbitrária de código, informações obtidas por meio de um vazamento de memória podem contribuir para ataques mais sofisticados quando combinadas com outras vulnerabilidades ou informações disponíveis sobre o ambiente.
Em infraestruturas expostas diretamente à internet, a situação merece atenção adicional. Um dispositivo de borda possui naturalmente uma superfície de ataque maior, e vulnerabilidades que podem ser exploradas sem autenticação apresentam maior potencial de exposição.
Como corrigir a CVE-2026-67277
A principal medida de correção é atualizar o RouterOS para uma versão que contenha o patch disponibilizado pela MikroTik. A recomendação oficial é utilizar, conforme o canal adotado pelo ambiente, a versão 6.49.21 ou posterior da linha Long-term, 7.23.4 ou posterior da linha Long-term, ou 7.24.2 ou posterior da linha Stable.
A atualização deve ser acompanhada de uma avaliação da configuração do equipamento. Isso é especialmente importante porque o CERT Polska confirmou exploração ativa de outras vulnerabilidades do conjunto e recomenda verificar possíveis alterações não autorizadas após a atualização.
A MikroTik também recomenda que administradores evitem deixar serviços de gerenciamento acessíveis a redes não confiáveis. Em particular, o fornecedor orienta que o SSH não seja exposto à internet e recomenda restringir o acesso administrativo a redes confiáveis ou utilizar uma VPN, como WireGuard, para acesso remoto.
Além da atualização, organizações devem verificar logs e configurações em busca de alterações que não tenham sido realizadas pela equipe responsável. Isso inclui usuários desconhecidos, scripts, tarefas agendadas e outras modificações inesperadas. O CERT Polska ressalta que a ausência de um indicador específico de comprometimento não deve ser interpretada como prova absoluta de que o equipamento não tenha sido comprometido.
This post is also available in: Português
