Se a sua empresa usa um roteador MikroTik como firewall de borda, é bem provável que a porta de gerência esteja acessível de algum lugar fora da rede local — nem que seja só para você mesmo administrar remotamente. Até aqui, normal. O problema é que, desde o fim de julho de 2026, existe uma falha documentada que permite a qualquer atacante testar milhares de combinações de usuário e senha contra essa porta sem que o RouterOS bloqueie, atrase de forma eficaz ou sequer avise sobre a tentativa. Não é uma falha teórica de laboratório: afeta todas as versões do sistema, em todos os modelos, incluindo o Cloud Hosted Router.
O que é a CVE-2026-16347
A CVE-2026-16347 foi publicada pelo ICS-CERT dos Estados Unidos em 28 de julho de 2026, com nota CVSS 3.1 de 8,8 (alta) e classificação CWE-307 — “restrição inadequada de tentativas excessivas de autenticação”. Em português direto: a API do RouterOS, usada por ferramentas de automação, monitoramento e pelo próprio Winbox, não aplica limite de tentativas de login, não bloqueia contas após falhas repetidas e não restringe por origem. Algumas versões têm um atraso fixo entre tentativas em uma mesma conexão, mas esse atraso é contornado abrindo várias sessões simultâneas — o que na prática anula a proteção.
O resultado é que um atacante com acesso de rede à interface de gerência pode rodar um ataque de força bruta de alto volume contra usuário e senha até acertar uma credencial válida. A partir daí, ele tem acesso administrativo ao equipamento que controla o roteamento, o firewall e, em muitos casos, o balanceamento de link e a alta disponibilidade da rede inteira.
O que muda entre a API, o Winbox e o SSH
Vale separar os três canais de gerência do RouterOS porque nem todo mundo sabe que eles existem em paralelo. O Winbox é a interface gráfica que a maioria dos administradores usa no dia a dia. O SSH atende quem prefere linha de comando. E a API é o canal pensado para integração com terceiros: softwares de monitoramento, scripts de automação, ferramentas de billing de provedores de internet e plataformas de gestão de rede conversam com o roteador por ali. A CVE-2026-16347 atinge especificamente a autenticação da API — mas, como o próprio boletim do ICS-CERT descreve, o problema é estrutural no mecanismo de controle de tentativas, o que reforça a recomendação de tratar todos os serviços de gerência com o mesmo nível de restrição, e não só o canal citado na falha.
Isso importa porque muita empresa expõe a API sem perceber. É comum que um integrador configure uma ferramenta de monitoramento externa e libere a porta da API no firewall “só para aquele IP” — e essa regra acaba sobrevivendo depois que a ferramenta muda de endereço, fica mais permissiva do que deveria, ou simplesmente é esquecida. Vale revisar hoje mesmo se existe alguma regra de NAT ou firewall liberando a porta 8728 (API) ou 8729 (API-SSL) para fora da rede de gerência confiável.
O que um atacante faz depois de entrar
Acesso administrativo ao roteador de borda não é só “mais uma senha vazada”. É o ponto por onde passa todo o tráfego da empresa. Com uma credencial válida em mãos, um invasor pode criar um novo usuário administrativo escondido para garantir acesso persistente mesmo que a senha original seja trocada, abrir regras de encaminhamento de porta para expor servidores internos que deveriam estar protegidos, redirecionar o DNS da rede para capturar credenciais de outros sistemas, espelhar tráfego para coletar dados sensíveis, ou simplesmente desligar logs e alertas para operar sem ser percebido enquanto se move para outros equipamentos da rede interna. Em cenários mais graves, o roteador comprometido vira ponto de apoio para um ataque de ransomware — o tipo de incidente que, segundo dados da plataforma Ransomware.Live, colocou o Brasil entre os três países mais visados do mundo em ataques mensais registrados em 2026.
Por que isso pesa mais para quem depende de MikroTik
MikroTik é uma escolha comum em empresas de 20 a 300 funcionários justamente por custo-benefício: um único equipamento faz roteamento, firewall, VPN e, com RouterOS, ainda automatiza tarefas via API. Só que essa mesma API — pensada para facilitar integração com sistemas de monitoramento e scripts de automação — é exatamente a porta afetada pela CVE-2026-16347. Se ela estiver acessível pela internet, por VPN mal configurada ou até por engano numa regra de firewall antiga, o equipamento inteiro fica exposto a um ataque que não depende de nenhuma falha de software sofisticada, só de paciência e tentativas em massa.
Vale reforçar: não existe hoje uma correção definitiva publicada pela MikroTik para essa falha específica. A recomendação oficial é mitigação por configuração, não atualização de firmware que resolva sozinha o problema.
Passos práticos para reduzir o risco agora
Você não precisa contratar ninguém para aplicar as primeiras camadas de proteção. São ajustes de configuração que qualquer pessoa com acesso administrativo ao RouterOS consegue fazer hoje:
- Nunca deixe a API, o Winbox ou o SSH acessíveis diretamente pela internet. Restrinja o acesso de gerência à rede local ou a uma VPN dedicada.
- Em
/ip service, configure o intervalo de tentativas malsucedidas (o chamado “unsuccessful-attempt time range”) entre 0,1 e 0,5 segundo para todos os serviços de gerência, incluindo a API. - Crie regras de firewall explícitas que bloqueiam qualquer origem que não seja a rede de gerência confiável, e liste as portas de API, Winbox e SSH nessas regras.
- Se precisar administrar remotamente, conecte primeiro por uma porta LAN confiável antes de liberar qualquer acesso externo, e desative esse acesso assim que terminar a manutenção.
- Troque senhas padrão e desative ou renomeie a conta “admin” — credenciais previsíveis são o primeiro alvo de qualquer ataque de força bruta.
- Monitore os logs do RouterOS em busca de falhas de autenticação repetidas vindas da mesma faixa de IP ou em volume incomum.
- Considere migrar para RouterOS 7.20.1 ou 7.21beta2, versões apontadas como mitigação parcial do problema até que a MikroTik publique uma correção completa.
Nenhum desses passos é definitivo isoladamente, mas juntos reduzem drasticamente a superfície de ataque: um invasor sem acesso à rede de gerência não tem contra o que rodar o ataque de força bruta, mesmo que a falha na API continue sem correção oficial.
O que fazer se suspeitar de comprometimento
Se você encontrar tentativas de login que não reconhece, usuários administrativos criados sem explicação ou regras de firewall alteradas, trate como incidente: troque todas as credenciais administrativas, revise as regras NAT e firewall em busca de portas abertas que você não configurou, e audite scripts agendados no roteador — é um esconderijo comum para persistência. Em caso de dúvida sobre a extensão do acesso obtido, vale isolar o equipamento da rede de produção até concluir a investigação.
A EDX Info trabalha diariamente com firewalls MikroTik, OPNsense e pfSense, incluindo configurações de load balance e alta disponibilidade. Se você quer uma revisão da exposição do seu MikroTik antes que alguém mais rápido chegue primeiro, fale com a gente: chame no WhatsApp ou escreva para contato@edxinfo.com.br. Para outros conteúdos como este, veja o blog da EDX Info.
Fontes
- National Vulnerability Database (NIST) — CVE-2026-16347, publicado em 28/07/2026.
- CISA — ICS Advisory ICSA-26-209-05: MikroTik RouterOS and Cloud Hosted Router, publicado em 28/07/2026.
- IT Forum — Brasil entra na lista dos países mais afetados por ransomware no início de 2026, com dados da plataforma Ransomware.Live.