Imagine que alguém pode ficar tentando adivinhar a senha do seu roteador de borda milhares de vezes por minuto, sem nunca ser bloqueado, sem disparar nenhum alarme e sem deixar a conexão mais lenta. É exatamente esse o cenário que a agência americana CISA descreveu em 28 de julho de 2026 ao publicar um alerta oficial sobre o MikroTik RouterOS. Se você administra a rede de uma empresa e tem um MikroTik cuidando de VPN, firewall ou balanceamento de links, essa falha diz respeito a você.
O detalhe que deixa esse caso mais desconfortável é que, no momento em que a CISA publicou o alerta, não havia correção disponível por parte da MikroTik. Ou seja, atualizar o firmware não resolve — pelo menos não ainda. A proteção depende inteiramente de como o equipamento está configurado. E é aí que a maioria das PMEs se descobre exposta.
O que a falha realmente permite
A vulnerabilidade recebeu o identificador CVE-2026-16347 e a nota de gravidade CVSS 3.1 de 8.8 (alta). O problema está na forma como a API do RouterOS trata tentativas de login. Em bom português: a API não impõe uma defesa eficaz contra tentativas repetidas de autenticação.
Sistemas bem protegidos normalmente reagem a um ataque de força bruta de três formas: limitam a taxa de tentativas (rate-limiting), travam a conta depois de X erros (account lockout) ou restringem de onde as tentativas podem partir. O RouterOS, segundo o boletim da CISA, não aplica nenhuma dessas três defesas de forma consistente na API. Existe até um pequeno atraso fixo por conexão em algumas versões, mas ele pode ser contornado — basta o atacante abrir várias sessões simultâneas e distribuir as tentativas entre elas, mantendo o volume alto.
O resultado prático é que um atacante com acesso à porta da API pode testar senhas em ritmo industrial até encontrar uma que funcione. Se conseguir, ele entra com privilégios administrativos — e a partir daí controla suas rotas, suas regras de firewall, seus túneis VPN e o tráfego que passa por eles. A falha foi classificada como CWE-307 (Restrição Inadequada de Tentativas Excessivas de Autenticação) e, vale registrar, foi reportada à CISA por Andre Santos, do coletivo brasileiro União Geek.
Uma ressalva importante para não gerar pânico desnecessário: essa falha não é explorável remotamente pela internet aberta por padrão — o vetor de ataque é de rede adjacente (AV:A). Isso significa que o risco real cresce muito quando a API está exposta de forma indevida: publicada na WAN, alcançável por uma VPN mal segmentada, ou acessível a partir de uma rede Wi-Fi de visitantes que enxerga o painel de gestão. É justamente esse tipo de configuração descuidada que transforma uma falha “adjacente” em porta de entrada.
A falha que vem de brinde: sessões que não expiram
No mesmo intervalo, foi publicada a CVE-2026-14227 (CVSS 3.1 de 4.9, média), também na API do RouterOS. Aqui o problema é de expiração insuficiente de sessão: uma sessão ativa pode manter o conjunto de permissões antigo mesmo depois que o usuário teve o grupo alterado ou ficou inativo. Traduzindo para o dia a dia: você rebaixa as permissões de um funcionário ou de um prestador, mas a sessão que ele já tinha aberta continua enxergando o que não deveria mais.
Sozinha, essa segunda falha é de gravidade menor. Combinada com uma troca de equipe, um desligamento de colaborador ou a rotação de um fornecedor de TI, ela vira um risco concreto de acesso residual — daqueles que passam despercebidos justamente porque “a senha já foi trocada”.
O que fazer agora, mesmo sem patch
Como não há correção definitiva, a defesa é de configuração. A boa notícia é que os passos abaixo você consegue executar hoje, sem contratar ninguém, e eles endurecem o plano de gestão do MikroTik contra esse e vários outros ataques. Seguem na ordem de maior impacto.
- Tire os serviços de gestão da internet. Em
/ip service, verifique quais serviços estão habilitados (api, api-ssl, winbox, www, ssh, telnet, ftp). Desabilite tudo que você não usa — telnet e ftp deveriam estar sempre desligados. O que sobrar, nunca deve estar acessível a partir da WAN. - Restrinja a origem de cada serviço. Ainda em
/ip service, use o campoaddress=para permitir acesso apenas das suas redes confiáveis (por exemplo, a LAN de administração ou a faixa da VPN). Um serviço que só aceita conexão de192.168.88.0/24não pode ser atacado por força bruta a partir de fora. - Feche a porta no firewall de entrada. Na chain
input, crie regras que descartem (drop) o acesso às portas de gestão vindo da interface WAN. A regra de/ip servicee a regra de firewall se reforçam — tenha as duas. - Acesse a gestão só por VPN. Em vez de expor Winbox ou API para administrar remotamente, suba um túnel (WireGuard ou IPsec) e faça toda a administração por dentro dele. Assim, o plano de gestão nunca aparece na internet pública.
- Configure o atraso de tentativa malsucedida. Quando a MikroTik disponibilizar o ajuste, defina o intervalo de tentativa malsucedida entre 0,1 e 0,5 segundo para todos os serviços, inclusive a API. É uma das mitigações recomendadas pelo próprio fabricante.
- Use senhas longas e aleatórias. Como não há bloqueio de conta, a única barreira contra a força bruta é o tamanho do espaço de busca. Uma senha longa e verdadeiramente aleatória mantém esse espaço impraticável. Nada de senha padrão, nada de reaproveitar a mesma senha em vários roteadores.
- Revise grupos, permissões e sessões ativas. Por causa da CVE-2026-14227, depois de rebaixar ou remover um usuário, encerre as sessões abertas e confirme que ninguém ficou com privilégio residual. Faça a mudança inicial sempre a partir de uma porta LAN confiável.
- Mantenha o RouterOS atualizado. Ainda que esta falha específica não tenha patch, a MikroTik lançou em 3 de julho de 2026 as versões 7.23.2 (stable), 7.21.5 e 6.49.20 (long-term) corrigindo outra questão de serviço (CVE-2026-59108). Estar na versão atual reduz sua superfície de ataque e prepara o terreno para quando a correção da API sair.
Um resumo para levar à reunião
| Item | Detalhe verificado |
|---|---|
| Identificador principal | CVE-2026-16347 — CVSS 3.1: 8.8 (alta) |
| Falha secundária | CVE-2026-14227 — CVSS 3.1: 4.9 (média) |
| Alerta oficial | CISA ICSA-26-209-05, publicado em 28/07/2026 |
| Produtos afetados | MikroTik RouterOS e Cloud Hosted Router — todas as versões |
| Correção | Indisponível até a data do alerta — apenas mitigação por configuração |
| Vetor | Rede adjacente; risco alto se a gestão estiver exposta |
Se você quer se aprofundar em boas práticas de firewall e continuidade, vale acompanhar os nossos conteúdos técnicos. E se a dúvida for “meu ambiente está exposto?”, essa é uma pergunta que se responde com uma revisão da configuração, não com um chute.
Precisa de ajuda para fechar essas portas?
Na EDX Info, revisar e endurecer configurações de MikroTik, OPNsense e pfSense — com load balance e alta disponibilidade — faz parte da rotina. Se você não tem certeza de quais serviços do seu roteador estão visíveis para o mundo, podemos fazer esse levantamento e aplicar as mitigações antes que a força bruta encontre a brecha. Conheça também o nosso suporte técnico.
Fale com a gente no WhatsApp ou escreva para contato@edxinfo.com.br.
Fontes
- CISA — MikroTik RouterOS and Cloud Hosted Router (ICSA-26-209-05), 28/07/2026: cisa.gov
- Rapid7 — CVE-2026-14227: Insufficient Session Expiration, publicado 30/07/2026: rapid7.com
- MikroTik — anúncio da release 7.23.2 [stable], 03/07/2026: forum.mikrotik.com
- MITRE CVE Record — CVE-2026-16347: cve.org