CVE-2026-67279: MikroTik RouterOS: Aplicação Imprópria de Fluxo Comportamental no SSH (CWE-841)

Visão geral

Esta falha afeta o serviço SSH do MikroTik RouterOS. Segundo o registro, o servidor passa ao protocolo de conexão após um rekey solicitado pelo cliente sem ter concluído a autenticação do usuário, o que permite que um cliente não autenticado alcance o tratamento de comandos. A classe de fraqueza atribuída no registro é CWE-841, Aplicação Imprópria de Fluxo Comportamental.

Impacto

Criação, sobrescrita e reconstrução não autenticadas de arquivos no namespace de arquivos gerenciado pelo RouterOS.
Possível exposição ou modificação de arquivos de suporte que contêm dados de configuração e diagnóstico.
O vetor CVSS da NVD no registro classifica o impacto em confidencialidade e integridade como baixo e em disponibilidade como nulo, com pontuação base de 6.5.

Produtos e versões afetadas

O registro lista o Mikrotik RouterOS com estes intervalos:

De 6.0 até antes de 6.49.21.
De 7.0 até antes de 7.23.4.
De 7.24 até antes de 7.24.2.

As versões corrigidas indicadas pelo fabricante são 6.49.21 (Long-term), 7.23.4 (Long-term) e 7.24.2 (Stable). Consulte o comunicado do fabricante e as notas de lançamento de 6.49.21, 7.23.4 e 7.24.2.

Status de exploração

O catálogo de Vulnerabilidades Conhecidas Exploradas da CISA inclui este CVE com data de inclusão em 2026-09-25 e prazo em 2026-09-28, o que confirma exploração ativa pela CISA. O uso em ransomware está registrado como desconhecido. O registro também informa probabilidade EPSS de 0.01046 e percentil de 0.63892. A CERT-PL publicou um aviso técnico que trata o problema como explorado ativamente.

Correção e mitigação

Atualize os equipamentos afetados para a versão corrigida do seu ramo: 6.49.21, 7.23.4 ou 7.24.2.
Siga as instruções de mitigação do fabricante no comunicado oficial para equipamentos que não possam ser atualizados rapidamente.
Restrinja o acesso ao serviço SSH de gerenciamento a redes confiáveis e reduza a exposição à internet das interfaces de gerenciamento.
Priorize a aplicação de correções de acordo com a exposição, como a ação requerida da CISA para esta entrada orienta.

Orientação para detecção

Revise os logs de SSH em busca de conexões inesperadas de origens não confiáveis e de sessões que não correspondam a atividade administrativa.
Verifique os arquivos gerenciados e de suporte do roteador em busca de criações, alterações ou ausências inesperadas.
Compare a configuração atual com backups confiáveis para identificar mudanças não planejadas.
Mantenha registros de alterações nos arquivos do equipamento e encaminhe-os a um monitoramento centralizado sempre que possível.

Limitações das informações disponíveis

O registro não inclui o texto completo do comunicado do fabricante, portanto as condições exatas que tornam uma build vulnerável além dos intervalos listados são desconhecidas. O registro também não informa se alguma campanha de exploração específica ou população afetada foi observada além da entrada no KEV e do aviso da CERT-PL. Análises de terceiros citadas no registro não foram usadas para os detalhes técnicos aqui apresentados.

Perguntas frequentes

Esta vulnerabilidade está sendo explorada ativamente?

Sim. A CISA inclui o CVE-2026-67279 no catálogo de Vulnerabilidades Conhecidas Exploradas, com data de inclusão em 2026-09-25, o que confirma exploração ativa.

Quais versões do RouterOS contêm a correção?

O registro indica 6.49.21 (Long-term), 7.23.4 (Long-term) e 7.24.2 (Stable) como versões corrigidas. Equipamentos nos intervalos afetados listados devem ser atualizados para a versão corrigida do seu ramo.

O que um invasor pode afetar segundo o registro?

O registro descreve criação, sobrescrita e reconstrução não autenticadas de arquivos no namespace de arquivos gerenciado pelo RouterOS, incluindo arquivos de suporte com dados de configuração e diagnóstico.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.