Boa parte dos provedores regionais de FTTH e wireless na América Latina usa RouterOS como concentrador PPPoE — o equipamento que autentica e mantém a sessão de cada cliente conectado. Em setembro de 2026, a MikroTik publicou uma correção pra uma vulnerabilidade de exposição de serviço no RouterOS, catalogada como CVE-2026-59108, com um detalhe que muda o tamanho do problema: o próprio fabricante ampliou o escopo da correção pra além do que o relatório original cobria.
O que a falha expõe, na prática
CVE-2026-59108 é uma vulnerabilidade de exposição de serviço — na configuração afetada, um serviço do RouterOS fica acessível de onde não deveria. O ponto que interessa direto pro seu NOC: se o roteador funciona como concentrador PPPoE, endpoint de VPN L2TP/SSTP, host WinBox público, alvo de API, endpoint WebFig ou salto SSH, o serviço exposto pode ser exatamente o que a falha atinge. Um concentrador PPPoE comprometido não é "mais um equipamento invadido" — é visibilidade sobre todas as sessões ativas de cliente conectadas ali, com risco de interceptação, alteração ou encerramento forçado de sessão em massa.
A MikroTik informou que equipamento em configuração padrão de fábrica não é afetado. O risco concentra-se em quem abriu esses serviços de gerência pra rede externa, pra rede de cliente ou pra segmento de VPN menos confiável — que é exatamente o padrão comum em concentrador de acesso de ISP, pensado pra ficar alcançável de vários pontos da operação.
Checklist de mitigação
- Atualizar o RouterOS agora, sem esperar janela de manutenção padrão — trate como correção urgente, não como patch de rotina.
- Nunca expor SSH, WinBox, API ou WebFig direto pra internet ou pra rede de cliente; se hoje há uma porta de gerência aberta assim, feche.
- Se gerência remota é necessária, usar VPN dedicada (WireGuard é a recomendação mais citada) em vez de abrir porta de management direto.
- Segmentar a rede de gerência da rede de cliente — um concentrador PPPoE não deveria expor a mesma superfície de gerência que atende a base de assinantes.
- Revisar especificamente os equipamentos que atuam como concentrador PPPoE, endpoint L2TP/SSTP e salto SSH — são os papéis mais expostos nesse cenário.
Por que isso é um problema de visibilidade de frota, não só de patch
A parte difícil de um CVE como esse não é aplicar a correção num equipamento — é saber, com certeza, que todos os concentradores da operação já receberam a atualização. Provedor regional com dezenas de POPs e múltiplos concentradores MikroTik espalhados geograficamente enfrenta a mesma pergunta que qualquer parque de equipamento crítico: quais unidades já foram atualizadas, quais ainda estão expostas, e onde estão fisicamente as que faltam. Modelo e versão de firmware por equipamento já costumam estar disponíveis via SNMP/API no Zabbix — o que falta, na maioria dos ambientes, é cruzar esse dado com a localização de cada concentrador pra priorizar a atualização por risco, em vez de por ordem alfabética de hostname.
Se seu inventário de equipamento crítico ainda não responde rápido "quais concentradores estão desatualizados e onde ficam", vale fechar esse gap antes do próximo CVE — não só este. Fale com a gente ou veja como o NOC Geomap ajuda a visualizar sua infraestrutura no mapa.
Fontes: MikroTik — September 2026 vulnerability e Ayuda.LA — guia de triagem para concentradores PPPoE de ISP.