{"id":2813,"date":"2026-09-11T09:01:04","date_gmt":"2026-09-11T12:01:04","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/09\/11\/cve-2026-86060-mikrotik-routeros-sob-exploracao-ativa-alerta\/"},"modified":"2026-09-11T09:01:04","modified_gmt":"2026-09-11T12:01:04","slug":"cve-2026-86060-mikrotik-routeros-sob-exploracao-ativa-alerta","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/09\/11\/cve-2026-86060-mikrotik-routeros-sob-exploracao-ativa-alerta\/","title":{"rendered":"CVE-2026-86060: MikroTik RouterOS sob explora\u00e7\u00e3o ativa \u2014 Alerta Alto"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

A CVE-2026-86060 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> em equipamentos MikroTik RouterOS acaba de ser adicionada ao cat\u00e1logo KEV (Known Exploited Vulnerabilities) da CISA, sinalizando que criminosos e poss\u00edveis atores de estado-na\u00e7\u00e3o j\u00e1 utilizam a falha em ataques reais. O cen\u00e1rio desta sexta-feira, 11 de setembro de 2026, \u00e9 particularmente tenso: a Microsoft quebrou recorde hist\u00f3rico de Patch Tuesday com 974 CVEs publicados, o ecossistema de redes sofre com m\u00faltiplos zero-days simult\u00e2neos e dispositivos de borda \u2014 roteadores, firewalls e controladoras \u2014 voltaram a ser o alvo preferencial de campanhas de intrus\u00e3o. A explora\u00e7\u00e3o ativa da falha em RouterOS coloca provedores de internet, data centers, redes corporativas e ambientes industriais em estado de alerta m\u00e1ximo.<\/p>\n

O MikroTik RouterOS \u00e9 amplamente utilizado em infraestrutura de rede de pequeno e m\u00e9dio porte, al\u00e9m de provedores regionais e ambientes de telecom. Sua popularidade, combinada com a exposi\u00e7\u00e3o frequente \u00e0 internet \u2014 interfaces de gerenciamento Winbox, WebFig e SSH \u2014 torna cada vulnerabilidade cr\u00edtica um vetor de comprometimento em massa. No caso da CVE-2026-86060<\/strong>, o problema n\u00e3o est\u00e1 apenas na gravidade t\u00e9cnica, mas na janela de prote\u00e7\u00e3o j\u00e1 encerrada: por ser um zero-day em explora\u00e7\u00e3o ativa, as equipes de seguran\u00e7a n\u00e3o disp\u00f5em de tempo para testar mitiga\u00e7\u00f5es gradualmente. A corre\u00e7\u00e3o precisa entrar em produ\u00e7\u00e3o agora.<\/p>\n

O alerta da CISA KEV n\u00e3o \u00e9 um aviso te\u00f3rico. Significa que h\u00e1 confirma\u00e7\u00e3o de que a vulnerabilidade est\u00e1 sendo usada para invadir sistemas reais, escalar privil\u00e9gios e comprometer a integridade de infraestrutura de rede. A postura recomendada para profissionais de TI \u00e9 tratar cada dispositivo MikroTik como potencialmente comprometido at\u00e9 que se prove o contr\u00e1rio. A janela de conten\u00e7\u00e3o \u00e9 curta, e a falha \u00e9 particularmente perigosa por permitir que um atacante altere a pol\u00edtica de confian\u00e7a do RouterOS<\/strong>, obtendo controle administrativo total.<\/p>\n

Neste artigo t\u00e9cnico, detalhamos a natureza da falha, o vetor de ataque, os produtos afetados, o impacto real para empresas e um passo a passo completo de mitiga\u00e7\u00e3o. Na JRT Technology Solutions implementamos varredura cont\u00ednua de CVEs para frotas corporativas e j\u00e1 colocamos a CVE-2026-86060<\/strong> como prioridade cr\u00edtica no monitoramento de nossos clientes. Nosso SOC monitora alertas CISA KEV em tempo real e recomenda a\u00e7\u00e3o imediata para todos os ambientes com RouterOS exposto.<\/p>\n

O que \u00e9 a CVE-2026-86060 e a explora\u00e7\u00e3o ativa vulnerabilidade no RouterOS<\/h3>\n

A CVE-2026-86060<\/strong> \u00e9 uma vulnerabilidade de neutraliza\u00e7\u00e3o inadequada de delimitadores de argumentos em um comando<\/strong> (CWE-88). Em termos pr\u00e1ticos, o RouterOS processa determinados comandos sem validar corretamente separadores e delimitadores enviados pelo usu\u00e1rio. Um atacante que consiga interagir com o sistema \u2014 mesmo com privil\u00e9gios limitados \u2014 pode injetar argumentos maliciosos e alterar a policy mask<\/strong>, o mecanismo interno que define quais permiss\u00f5es um usu\u00e1rio ou processo possui. Ao manipular essa m\u00e1scara, o atacante eleva seus privil\u00e9gios a n\u00edvel administrativo, ganhando controle total do roteador.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-86060<\/td>\n<\/tr>\n
CVSS Score<\/td>\n8.8 \u2014 HIGH<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork \/ Remoto<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nMikroTik RouterOS (vers\u00f5es anteriores \u00e0 corre\u00e7\u00e3o)<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-88 \u2014 Neutraliza\u00e7\u00e3o inadequada de delimitadores de argumentos<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n11\/09\/2026<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nSim \u2014 vers\u00f5es corrigidas no canal est\u00e1vel da MikroTik<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A falha n\u00e3o exige autentica\u00e7\u00e3o pr\u00e9via em cen\u00e1rios onde servi\u00e7os de gerenciamento estejam expostos sem controle de acesso adequado. Mesmo quando h\u00e1 autentica\u00e7\u00e3o, credenciais fracas, vazadas ou obtidas por phishing podem permitir que o atacante utilize a pr\u00f3pria sess\u00e3o leg\u00edtima para disparar a explora\u00e7\u00e3o. A CISA classifica a vulnerabilidade como de remedia\u00e7\u00e3o urgente, exigindo a\u00e7\u00e3o em at\u00e9 14 dias para \u00f3rg\u00e3os federais dos EUA \u2014 mas para redes privadas, a recomenda\u00e7\u00e3o \u00e9 tratar como prioridade imediata.<\/p>\n

An\u00e1lise t\u00e9cnica detalhada da CVE-2026-86060<\/h3>\n

O RouterOS possui um subsistema de pol\u00edticas de permiss\u00e3o baseado em policy masks<\/strong>, que funcionam como m\u00e1scaras de bits atribu\u00eddas a usu\u00e1rios, grupos e processos. Cada bit define acesso a diferentes fun\u00e7\u00f5es: leitura, escrita, configura\u00e7\u00e3o de firewall, gerenciamento de usu\u00e1rios, VPN, roteamento, entre outras. A vulnerabilidade CVE-2026-86060<\/strong> reside na forma como o interpretador de comandos do RouterOS processa delimitadores de argumentos \u2014 como v\u00edrgulas, espa\u00e7os e caracteres especiais \u2014 sem sanitiza\u00e7\u00e3o adequada.<\/p>\n

Um atacante que consiga submeter um comando malformado pode faz\u00ea-lo conter argumentos adicionais que alteram a m\u00e1scara de pol\u00edtica do pr\u00f3prio usu\u00e1rio ou de processos do sistema. Uma vez elevado a n\u00edvel full<\/strong> (equivalente a administrador total), o atacante pode criar usu\u00e1rios persistentes, modificar rotas, capturar tr\u00e1fego, instalar scripts maliciosos, desabilitar firewalls e at\u00e9 mesmo usar o roteador como ponte para ataques internos. Como o RouterOS \u00e9 o n\u00facleo operacional de dispositivos MikroTik, o comprometimento equivale a entregar as chaves da rede.<\/p>\n

Do ponto de vista de explora\u00e7\u00e3o, n\u00e3o h\u00e1 necessidade de vulnerabilidade em componentes externos: a falha \u00e9 aut\u00f4noma e pode ser disparada por qualquer vetor que permita executar comandos no CLI \u2014 Winbox, SSH, API ou mesmo scripts agendados. A severidade 8.8 (HIGH)<\/strong> no CVSS 3.1 reflete o vetor de rede, baixa complexidade de ataque, aus\u00eancia de intera\u00e7\u00e3o do usu\u00e1rio e alto impacto em confidencialidade, integridade e disponibilidade. O vetor CVSS \u00e9 AV:N\/AC:L\/PR:L\/UI:N\/S:U\/C:H\/I:H\/A:H<\/strong>.<\/p>\n

A aus\u00eancia de neutraliza\u00e7\u00e3o correta de delimitadores \u00e9 uma classe de falha frequentemente subestimada, mas extremamente perigosa em sistemas embarcados e appliances de rede. A complexidade para explorar \u00e9 baixa, e ferramentas de automa\u00e7\u00e3o podem facilmente incorporar payloads adaptados. O fato de a CISA t\u00ea-la inclu\u00eddo no cat\u00e1logo KEV confirma que n\u00e3o se trata de uma prova de conceito acad\u00eamica: h\u00e1 campanhas ativas tirando proveito da falha.<\/p>\n

Produtos e vers\u00f5es afetados pela CVE-2026-86060<\/h3>\n

Todos os dispositivos MikroTik que executam vers\u00f5es vulner\u00e1veis do RouterOS est\u00e3o expostos. A MikroTik j\u00e1 liberou corre\u00e7\u00f5es nas branches est\u00e1veis e LTS (Long Term Support). Vers\u00f5es obsoletas, configura\u00e7\u00f5es desatualizadas ou equipamentos fora de contrato de suporte s\u00e3o os principais focos de risco. Os produtos afetados incluem, mas n\u00e3o se limitam a:<\/p>\n