CVE-2026-67277

## Descrição Foram identificadas 6 vulnerabilidades no MikroTik RouterOS, divulgadas pelo CERT.PL a 5 de setembro de 2026 [1][2]. Duas delas, quando encadeadas, permitem a um atacante remoto não autenticado obter controlo total do equipamento através do serviço SSH [1]. As vulnerabilidades de maior severidade são: CVE-2026-67276/EUVD-2026-72024 (CVSS - 9.2): bypass de autenticação SSH. O RouterOS não compara a totalidade da chave pública RSA ao validar um pedido de autenticação, verificando o tipo de chave e o módulo mas omitindo o expoente. Como a verificação da assinatura usa a chave fornecida pelo cliente, um atacante que conheça o nome de utilizador e o módulo público de uma chave autorizada pode apresentar uma chave com expoente igual a um, produzir uma assinatura válida e abrir uma sessão SSH como esse utilizador, sem possuir a chave privada. Os privilégios obtidos correspondem aos da conta visada [1][2][3]. CVE-2026-86060/EUVD-2026-72029 (CVSS - 9.2): injeção de argumentos (CWE-88) no fluxo de login SSH. O RouterOS não trata corretamente nomes de utilizador que começam por um caráter proibido, permitindo alterar a policy mask associada à sessão. A sessão resultante passa a ter privilégios administrativos completos. A exploração exige uma sessão SSH não autenticada para alcançar o login helper do RouterOS [1][2][4]. CVE-2026-67277/EUVD-2026-72025 (CVSS - 8.8): divulgação de memória e interrupção de serviço através do bandwidth-test. O serviço permite que uma ligação não autenticada atinja um estado que deveria ser alcançável apenas após autenticação. Combinado com a divulgação de dados não inicializados do packet buffer e com um integer underflow na validação de dimensão, permite a fuga de memória do kernel ou uma condição de negação de serviço com reinício do sistema [1][2][5]. São afetadas as versões do RouterOS 6.0.0 anteriores à 6.49.21, as versões 7.0.0 anteriores à 7.23.4 e as versões 7.24 anteriores à 7.24.2 [3][4][5]. A correção está disponível nas versões 6.49.21 (Long-term), 7.23.4 (Long-term), 7.24.2 (Stable) e 7.25beta3, divulgadas pela MikroTik a 3 de setembro de 2026 [1][6]. As restantes vulnerabilidades do conjunto afetam o cliente SSH, o tratamento de certificados X.509 e a interface WebFig [1]. ## Impacto A exploração é remota e não requer autenticação nem interação do utilizador, exigindo apenas que o serviço SSH esteja acessível ao atacante. Encadeando o CVE-2026-67276/EUVD-2026-72024 com o CVE-2026-86060/EUVD-2026-72029, o atacante autentica-se como um utilizador existente sem possuir a respetiva chave privada e eleva de imediato a sessão a privilégios administrativos completos, obtendo controlo total sobre o encaminhamento, a configuração e as credenciais do equipamento [1]. ## Resolução Recomenda-se a atualização imediata do RouterOS para a versão 6.49.21, 7.23.4, 7.24.2 ou 7.25beta3 [1][6]. Medidas adicionais recomendadas: Após a atualização, verificar o marcador "Flagged" com o comando /system/device-mode/print e procurar nos logs a mensagem de comprometimento do equipamento. O mecanismo introduzido nas versões corrigidas deteta apenas algumas evidências conhecidas, pelo que a ausência do marcador não exclui um comprometimento anterior [1]; Procurar nos logs as seguintes entradas, que indicam tentativas de exploração e exigem investigação imediata: login failure for user -2 from via ssh e user added by ssh:-2@. Verificar também a existência de uma conta com privilégios elevados denominada "ops" [1]; Rever a configuração para identificar utilizadores, scripts, tarefas de scheduler, servidores proxy e túneis não reconhecidos [1]; Se não for possível atualizar de imediato, desativar os serviços expostos ou bloquear o acesso aos mesmos a partir de endereços fora das redes de gestão confiáveis, em particular SSH, WWW/WWW-SSL e o servidor bandwidth-test. Evitar também iniciar ligações TLS a partir de um equipamento não corrigido e utilizar os clientes SSH integrados (/system ssh e /system ssh-exec) [1]; Se existirem indícios de comprometimento, isolar o equipamento da rede e preservar os logs e a configuração antes de qualquer reset. Restaurar depois o equipamento às definições de fábrica, reconfigurá-lo a partir de uma configuração verificada e alterar as palavras-passe, chaves e restantes segredos em uso. Não restaurar um backup completo proveniente de um equipamento potencialmente comprometido, nem limpar o marcador "Flagged" antes de concluída a análise [1].

EPSS 0.44% · 36.6th percentile