Atualização de segurança do RouterOS (CVE-2026-84411 e outras): como aplicar o patch sem perder o acesso

/system resource print
/system package update print

Anote a versão e o canal (stable, long-term, testing). As correções saem por ramificação e não chegam todas no mesmo dia. Um roteador na ramificação long-term pode estar esperando uma correção que os usuários de stable já têm, então saber sua ramificação diz qual linha do aviso vale para você. O RouterOS v6 também aparece nos avisos, com suas próprias versões corrigidas.

Para cada entrada da página de segurança da MikroTik, responda três perguntas. Qual componente é afetado (interface web, SSH, uma ferramenta, contêineres)? O atacante precisa fazer login antes? A versão corrigida já existe para a minha ramificação? O CVE-2026-84411 é do tipo perigoso: o serviço web de administração pode ser atingido por uma requisição montada sem nenhum login e, no pior caso, permite executar código com todos os privilégios. Entradas que exigem um login válido, ou um recurso que você não usa (contêineres, por exemplo), têm prioridade menor, mas não podem ser ignoradas.

Primeiro faça um backup e um export, e guarde uma cópia fora do roteador:

/system backup save name=pre-upgrade
/export file=pre-upgrade
/system package update check-for-updates
/system package update install

O roteador reinicia sozinho. Não atualize um local remoto ao qual você não consegue ir pessoalmente sem um plano de recuperação, e prefira um horário tranquilo. Neste blog há um texto separado sobre como atualizar o RouterOS com segurança, incluindo o que verificar depois. Atualize o firmware do routerboard como segundo passo se as notas da versão pedirem.

Quando o serviço vulnerável não é alcançável, a falha não pode ser usada remotamente. Para a interface web, desabilite ou restrinja aos seus endereços de administração:

/ip service disable www,www-ssl
# ou, se realmente precisar:
/ip service set www address=192.168.88.0/24
/ip service set www-ssl address=192.168.88.0/24

Faça a mesma revisão com outros serviços citados em avisos recentes, como SSH e o bandwidth test, que você pode desligar se não usa:

/ip service set ssh address=192.168.88.0/24
/tool bandwidth-server set enabled=no

Coloque o seu próprio endereço na faixa permitida antes de aplicar, ou você vai cortar a sua sessão. Isso é uma mitigação, não uma cura: instale a correção assim que ela existir para a sua ramificação.

Restringir serviços é uma camada; a chain input do firewall deve ser a outra. Verifique se o tráfego não solicitado da Internet para o próprio roteador é descartado, com os seus endereços aceitos acima dessa regra. O texto sobre WinBox deste blog explica a ordem exata das regras. Só esse hábito teria neutralizado a maioria das vulnerabilidades remotas recentes do RouterOS, já que todas exigem que o atacante alcance primeiro um serviço de administração.

Se o roteador ficou exposto enquanto a vulnerabilidade era pública, presuma que pode ter sido sondado e verifique:

/user print
/system scheduler print
/system script print
/ip service print
/log print where topics~"critical|error|system"

Procure usuários que você não criou, schedulers ou scripts que não reconhece, serviços habilitados que você havia desabilitado e reinicializações inesperadas. Se algo parecer errado, restaurar a partir de um export confiável e trocar todas as credenciais é mais seguro do que tentar limpar no local. Troque as senhas de qualquer roteador que tenha ficado exposto, tenha você encontrado algo ou não.

Assine os anúncios de segurança da MikroTik, ou consulte a página de segurança em um dia fixo de cada mês, e mantenha um inventário de versão e ramificação de cada roteador. Quando o próximo aviso chegar, você saberá em minutos quais equipamentos são afetados em vez de descobrir equipamento por equipamento.