CVE-2026-67277: Falta de autenticação em função crítica no MikroTik RouterOS (btest)
A CVE-2026-67277 afeta o MikroTik RouterOS e permite que um cliente não autenticado use a função btest antes que a sessão primária seja autenticada, segundo o registro da CERT-PL. A CISA a inclui no catálogo de vulnerabilidades exploradas conhecidas, e o registro também cita uma falha de tamanho de pacote que pode reiniciar o kernel. Há versões corrigidas indicadas para cada ramo mantido.
Visão geral
A CVE-2026-67277 é uma falha de falta de autenticação (CWE-306) no MikroTik RouterOS, relacionada à função de teste de largura de banda btest. Segundo o registro da CERT-PL, o RouterOS aceita uma conexão btest do tipo related antes que a sessão primária correspondente conclua a autenticação, o que permite que um cliente não autenticado inicie um teste UDP IPv4.
Impacto
- Disponibilidade: o registro informa que uma falha separada na validação de tamanho de pacote pode causar underflow de inteiro sem sinal, saída fragmentada anormalmente grande e reinício do kernel do RouterOS. O vetor da NVD classifica o impacto na disponibilidade como alto.
- Confidencialidade: o registro informa que, com random-data definido como false, o remetente pode transmitir uma cauda não inicializada de um buffer de pacotes do kernel. O vetor da NVD classifica o impacto na confidencialidade como baixo.
- Integridade: o vetor da NVD classifica o impacto na integridade como nulo.
Produtos e versões afetadas
- O registro lista faixas afetadas para o Mikrotik RouterOS: de 6.0 até antes de 6.49.21, de 7.0 até antes de 7.23.4, e de 7.24 até antes de 7.24.2.
- As versões corrigidas citadas no registro são 6.49.21 (long-term), 7.23.4 (long-term) e 7.24.2 (stable).
- O registro não informa se versões fora dessas faixas foram testadas.
Status de exploração
- A CISA inclui a CVE-2026-67277 no catálogo de Vulnerabilidades Exploradas Conhecidas, com data de inclusão em 2026-09-10 e prazo em 2026-09-13. Assim, a exploração no mundo real é confirmada pela CISA.
- O título do post da CERT-PL também menciona as vulnerabilidades como exploradas ativamente.
- O uso em ransomware está registrado como desconhecido.
- A entrada de EPSS mostra probabilidade de 0,0156 e percentil de 0,75058, datada de 2026-10-23.
Correção e mitigação
- Atualize o RouterOS para 6.49.21, 7.23.4 ou 7.24.2, conforme o ramo em uso, como descrito no aviso do fabricante e nas notas de lançamento.
- Siga a orientação de mitigação da CERT-PL e as instruções do fabricante.
- Até a atualização, restrinja o acesso ao plano de gerenciamento do roteador e aos serviços de teste a redes confiáveis, e desative o serviço btest se ele não for necessário.
- As organizações devem avaliar a exposição de cada equipamento à internet, conforme solicita a entrada da CISA.
Orientações de detecção
- Inventarie todos os dispositivos MikroTik RouterOS e registre suas versões e se o btest está habilitado ou acessível a partir de redes não confiáveis.
- Revise logs e tráfego em busca de atividade btest ou de teste UDP inesperada originada de fontes externas.
- Trate reinicializações ou falhas não planejadas do roteador como possíveis sinais desta falha e investigue.
- O registro não fornece indicadores de comprometimento.
Limitações das informações disponíveis
- O registro traz uma descrição técnica de alto nível e não explica as condições exatas de disparo nem o comportamento em nível de bytes, o que este portal não reproduz.
- Nenhum indicador de comprometimento nem detalhes de campanhas observadas constam nas fontes consultadas.
- O registro não confirma se versões fora das faixas listadas são afetadas.
- As pontuações variam entre fontes: a NVD atribui 8,2 e a CERT-PL atribui 8,8.
- A associação com ransomware é desconhecida.
Perguntas frequentes
O que é a CVE-2026-67277?
É uma falha de falta de autenticação (CWE-306) no MikroTik RouterOS que afeta a função btest, podendo permitir que um cliente não autenticado inicie um teste antes da autenticação da sessão primária.
Essa vulnerabilidade está sendo explorada?
Sim, segundo a CISA, que a inclui no catálogo de Vulnerabilidades Exploradas Conhecidas. O registro indica que o uso em ransomware é desconhecido.
Quais versões estão corrigidas?
O registro cita 6.49.21 (long-term), 7.23.4 (long-term) e 7.24.2 (stable) como versões corrigidas. Administradores devem atualizar o ramo que utilizam.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.