A Asus publicou na madrugada de sexta-feira (23), às 2h52 no horário de Brasília, uma atualização de firmware para roteadores que corrige três falhas de severidade alta, com notas de 7,7 a 8,7 na escala CVSS 4.0. A mais grave permite que alguém conectado à mesma rede assuma o painel de administrador do roteador Asus sem digitar senha.
Adicione ao Google NotíciasNeste artigo
- Duas falhas abrem o painel do roteador sem senha; a terceira depende de um clique do administrador
- Quem está no seu Wi-Fi é a porta principal; de fora, o ataque passa pelo navegador do dono
- Quinto boletim de firmware de roteador da Asus em outubro
- Histórico de falhas exploradas e os modelos que ficaram sem suporte
- Como proteger o roteador Asus enquanto a lista de modelos não sai
O alerta vale para qualquer casa, escritório, república ou condomínio que use roteador Asus, marca comum nas prateleiras brasileiras nas linhas RT, ROG e Wi-Fi 6/Wi-Fi 7. O problema é que o boletim fala só em "certos modelos" e não traz lista: quem tem um aparelho da marca precisa conferir o firmware no próprio roteador.
O comunicado entrou no feed oficial de segurança da Asus às 13h52 de Taiwan e foi o quinto boletim sobre firmware de roteador que a fabricante soltou em outubro. Somados, os cinco tratam de 11 vulnerabilidades em 23 dias.
Duas falhas abrem o painel do roteador sem senha; a terceira depende de um clique do administrador
O texto da Asus descreve o caso principal assim: "uma vulnerabilidade de autenticação imprópria existe em certos modelos de roteadores Asus; sob condições específicas, um atacante não autenticado em uma rede adjacente pode obter acesso administrativo ao roteador". Em linguagem de CVSS, "rede adjacente" quer dizer que o invasor precisa estar no mesmo segmento de rede, seja pelo Wi-Fi ou por cabo. Não basta estar em qualquer lugar da internet.
Os vetores publicados pela própria Asus mostram que as três falhas não são iguais, e a diferença muda o risco real:
| Falha | Nota CVSS 4.0 | De onde vem o ataque | O que o atacante precisa |
|---|---|---|---|
| CVE-2026-93489 | 8,7 (alta) | Rede local (adjacente) | Nada: sem senha, sem clique de ninguém |
| CVE-2026-75779 | 8,6 (alta) | Internet | Que um administrador interaja com conteúdo malicioso |
| CVE-2026-75775 | 7,7 (alta) | Rede local (adjacente) | Sem senha, mas sob "condições específicas" de ataque |
A Asus não publicou descrição técnica de cada CVE. Bases de vulnerabilidades como VulDB e Strix descrevem a CVE-2026-93489 como falha de autenticação em que uma requisição HTTP forja um "ticket" de acesso e dá ao intruso as operações de administrador. A CVE-2026-75779, segundo as mesmas bases, combina falsificação de requisição (CSRF) com injeção de comandos do sistema: se o administrador, logado no painel, abrir uma página preparada, o roteador executa comandos com privilégio de root. As bases apontam firmwares da série 3.0.0.6_102, a mesma que o Notebookcheck liga à CVE-2026-75775.
Quem está no seu Wi-Fi é a porta principal; de fora, o ataque passa pelo navegador do dono
Na prática, o risco tem dois desenhos. Nas duas falhas de rede adjacente, o perigo está em quem já pegou a senha do Wi-Fi: o vizinho, a visita, o colega de república, o dispositivo infectado da casa. Em prédio com rede compartilhada ou em escritório com rede aberta a convidados, esse grupo é grande. Quem obtém acesso de administrador pode mudar o DNS, abrir portas, criar acesso remoto e redirecionar o tráfego de todos os aparelhos conectados.
A CVE-2026-75779 é a que chega de fora. Ela não exige estar na rede, só que o dono do roteador clique no lugar errado com a sessão do painel aberta. É o tipo de falha que combina com phishing direcionado. A nota fica colada na mais alta do lote porque o ataque parte da internet, mesmo dependendo de interação.
Até a publicação deste texto, nenhuma das fontes consultadas registrava exploração ativa ou código de ataque público para os três CVEs. A Asus também não informou quem descobriu as falhas.
Quinto boletim de firmware de roteador da Asus em outubro
O comunicado de sexta fecha um mês carregado. O feed oficial da fabricante registra cinco alertas sobre firmware de roteador desde o dia 1º:
- 1º/10: dois boletins. A CVE-2026-14157 (nota 9,4, crítica) deixa um usuário autenticado executar comandos ao enviar um arquivo de configuração de cliente VPN adulterado pela interface web; a CVE-2026-13313 (8,9, alta) permite a um atacante remoto autenticado rodar comandos com privilégio elevado, e a Asus alertou para engenharia social contra administradores.
- 7/10: quatro falhas de uma vez, entre elas execução de script por link malicioso, uso indevido do token de pareamento do IFTTT para ler ou mudar configurações e execução de código por arquivo de configuração forjado.
- 20/10: CVE-2026-17518 (8,2, alta) e CVE-2026-75753 (5,3, média), que permitem a um atacante na rede adjacente derrubar o aparelho ou alterar o estado de operação dele.
- 23/10: as três falhas deste boletim.
O padrão diz mais do que qualquer CVE isolado. Várias das falhas do mês miram a interface web de administração, e a série 3.0.0.6_102 aparece em mais de um boletim. Quem atualizou o roteador no começo de outubro já está com firmware desatualizado de novo.
Histórico de falhas exploradas e os modelos que ficaram sem suporte
Roteador Asus já foi alvo de ataque real. Em abril de 2025, a empresa corrigiu a CVE-2025-2492, de autenticação imprópria no AiCloud. Segundo o BleepingComputer, essa falha foi usada depois na campanha batizada de Operation WrtHug, que mirava roteadores desatualizados ou fora de suporte. Ainda em 2025, a CVE-2025-59366, outra falha de autenticação no AiCloud, entrou na lista de correções da marca.
Os aparelhos em fim de vida (EOL) são o ponto fraco desse histórico. Para eles, a recomendação da Asus no boletim de 20 de outubro é direta: trocar por um modelo com suporte. Se não for possível, a fabricante pede para desligar todos os serviços expostos à internet, incluindo AiCloud, acesso remoto pela WAN, redirecionamento de portas, DDNS, servidor VPN, DMZ, port triggering e FTP. A lista de modelos sem suporte fica na página de produtos EOL da Asus.
Como proteger o roteador Asus enquanto a lista de modelos não sai
O boletim manda baixar o firmware mais recente na página de suporte de cada modelo, mas não diz qual versão fecha as falhas. Um título da TechPowerUp sugere que a correção seja voltada a roteadores Wi-Fi 7, mas o comunicado da Asus não faz esse recorte, e não há confirmação de que modelos Wi-Fi 6 ou mais antigos estejam fora do problema.
Para quem não consegue atualizar na hora, a Asus recomenda:
- usar senhas diferentes para o painel e para o Wi-Fi, com pelo menos 10 caracteres misturando maiúsculas, números e símbolos;
- deixar o painel acessível só pela rede local e desativar o acesso remoto pela WAN;
- remover dispositivos vinculados e sessões do aplicativo que não reconhecer e reiniciar o roteador depois de instalar o firmware novo.
A fabricante não deu prazo para publicar a lista de modelos afetados. Nem informou se os modelos em fim de vida estão entre os vulneráveis. Em outubro, a empresa soltou um boletim de roteador a cada cinco dias, em média.
