MikroTrick: Angreifer übernehmen MikroTik RouterOS über offene SSH-Ports

CERT Polska hat eine Warnung veröffentlicht zur aktiven Ausnutzung von Schwachstellen in MikroTik RouterOS, die Angreifern ermöglichen, ohne Authentifizierung über den aus dem Internet erreichbaren SSH-Dienst die vollständige administrative Kontrolle über den Router zu erlangen. Erfolgreiche Angriffe werden mindestens seit dem 2. September 2026 beobachtet. Korrigierte RouterOS-Versionen sind bereits verfügbar: 6.49.21 (Long-term), 7.23.4 (Long-term) und 7.24.2 (Stable). Alle Administratoren von MikroTik-Geräten mit offenen Management-Ports müssen das Update umgehend installieren und die Konfiguration auf Anzeichen einer Kompromittierung überprüfen.

Technische Details der Schwachstellen

CERT Polska hat der entdeckten Angriffskette die Bezeichnung MikroTrick gegeben. Nach bisher vorliegenden Informationen wird für den Erhalt administrativer Zugriffsrechte eine Kombination aus zwei Schwachstellen genutzt, doch weder CERT noch MikroTik haben zum Zeitpunkt der Veröffentlichung offengelegt, welche beiden Schwachstellen genau die beobachtete Exploit-Kette bilden.

Im Rahmen des Sicherheitsupdates für den September wurden mindestens fünf Schwachstellen mit Einträgen in der GitHub Advisory Database veröffentlicht:

• CVE-2026-86060 — Argument Injection über SSH, die es ermöglicht, die Policy-Maske von RouterOS zu verändern und eine Privilege Escalation durchzuführen. CVSS v4: 9.2 (kritisch).
• CVE-2026-67281 — File Read und Path Traversal ohne Authentifizierung über WebFig /jsproxy. CVSS v4: 8.7.
• CVE-2026-67277 — Schwachstelle im Dienst bandwidth-test: Disclosure nicht initialisierter Daten und Integer-Overflow der Paketgröße vor der Authentifizierung. CVSS v4: 8.8.
• CVE-2026-67279 — Fehler im SSH-Zustandsautomaten, der die Ausführung von Befehlen ohne Authentifizierung im Dateisystem von RouterOS zulässt. CVSS v4: 6.9.
• CVE-2026-67278 — Fehler bei der Validierung von X.509/RSA-Signaturen, der unter bestimmten Bedingungen die Fälschung eines vertrauenswürdigen Zertifikats ermöglicht. CVSS v4: 6.3.

Zu beachten ist, dass alle genannten Einträge in der GitHub Advisory Database den Status „unreviewed“ haben und die betroffenen Versionen in einigen Einträgen als unbekannt angegeben sind. Angesichts der bestätigten aktiven Ausnutzung und der höchsten CVSS-v4-Bewertung von 9.2 für CVE-2026-86060 wird die Gesamtkritikalität der Situation dennoch als hoch eingeschätzt.

Frage des Zero-Day-Status

Die Chronologie der Ereignisse lässt nicht eindeutig klären, ob die Ausnutzung einen Zero-Day-Angriff darstellt. Erfolgreiche Angriffe wurden seit dem 2. September verzeichnet, während das Changelog der Beta-Version 7.25beta3 auf dasselbe Datum datiert ist und die ersten Fixes am 2.–3. September angekündigt wurden. Diese Daten belegen nicht, dass ein funktionsfähiger Patch vor Beginn der Angriffe verfügbar war, daher bleibt der Zero-Day-Status unbestätigt.

Wer ist gefährdet

Am stärksten bedroht sind MikroTik-Geräte, deren Management-Dienste (SSH, WWW/WWW-SSL, bandwidth-test) aus dem Internet erreichbar sind. Laut der MikroTik-Dokumentation blockieren Heimgeräte mit unveränderten Firewall-Regeln standardmäßig den öffentlichen Zugriff auf Management-Ports. Das Risiko steigt jedoch erheblich, wenn Filterregeln geändert, Port-Forwarding konfiguriert oder andere benutzerdefinierte Einstellungen vorgenommen werden, die Management-Schnittstellen nach außen öffnen.

MikroTik-Router werden massenhaft von Providern, kleinen und mittleren Unternehmen sowie in Unternehmensnetzen eingesetzt. Die Kompromittierung eines Routers ermöglicht es Angreifern, Traffic abzugreifen, DNS-Anfragen umzuleiten, Persistenzpunkte für eine weitere laterale Bewegung im Netzwerk einzurichten und das Gerät als Teil eines Botnetzes zu verwenden. Zum Zeitpunkt der Veröffentlichung sind weder die Zahl der Opfer noch die Attribution der Angreifer bekannt.

Indikatoren einer Kompromittierung und Diagnose

CERT Polska hebt folgende Anzeichen hervor, die eine Untersuchung erfordern:

• Status Flagged — RouterOS markiert das Gerät automatisch, wenn beim Booten eine verdächtige Konfiguration erkannt wird. Die Überprüfung erfolgt mit dem Befehl /system/device-mode/print. Details finden sich in der Dokumentation zum Device-Mode.
• Unbekannte privilegierte Benutzerkonten — besonderes Augenmerk auf Accounts mit der Gruppe ops oder vergleichbaren hohen Privilegien.
• Log-Einträge zur Erstellung von Accounts, die die Zeichenfolge ssh:-2@ enthalten.
• Unidentifizierte Skripte, Scheduler-Jobs und andere Konfigurationsänderungen.

Wichtig: Das Fehlen des Status Flagged garantiert nicht, dass das Gerät nicht kompromittiert wurde.

Empfehlungen zur Reaktion

Sofortiges Update

Installieren Sie die korrigierten RouterOS-Versionen über die offizielle Download-Seite:

• 6.49.21 — Long-term-Branch für RouterOS 6.x
• 7.23.4 (oder 7.23.5, das eine IPv6-DHCP-Regression behebt) — Long-term-Branch für RouterOS 7.x
• 7.24.2 — Stable-Branch

Vorübergehende Maßnahmen bis zum Update

1. Deaktivieren oder beschränken Sie den Zugriff auf die Dienste SSH, WWW/WWW-SSL und bandwidth-test und erlauben Sie Verbindungen nur aus vertrauenswürdigen Management-Netzen.
2. Initiieren Sie von einem nicht aktualisierten Gerät aus keine TLS-Verbindungen und verwenden Sie den integrierten SSH-Client von RouterOS nicht — dies betrifft einen breiteren Satz von Schwachstellen, einschließlich CVE-2026-67278.

Maßnahmen bei Verdacht auf Kompromittierung

1. Isolieren Sie den Router vom Netzwerk. Sichern Sie Logs und Konfiguration, bevor Sie Änderungen vornehmen. CERT Polska stellt einen Leitfaden zur Datensicherung (auf Polnisch) zur Verfügung.
2. Entfernen Sie den Status Flagged nicht, bevor die Analyse abgeschlossen und Beweise gesichert sind.
3. Setzen Sie das Gerät auf Werkseinstellungen zurück und stellen Sie die Konfiguration manuell aus einer vertrauenswürdigen Quelle wieder her. Spielen Sie kein vollständiges Backup eines potenziell kompromittierten Geräts ein.
4. Erneuern Sie alle Secrets: Passwörter, SSH-Keys, Zertifikate und andere Anmeldedaten, die auf dem Gerät verwendet wurden.

Überprüfung nach dem Update

Führen Sie auch ohne offensichtliche Kompromittierungsanzeichen nach der Installation des Updates Folgendes durch:

• Durchsicht der System-Logs auf verdächtige Ereignisse
• Ausführen des Befehls /system/device-mode/print zur Statusprüfung
• Audit der Benutzerliste, Skripte und Scheduler-Jobs

Die MikroTrick-Kette zeigt, dass bereits ein einziger offener Management-Dienst auf einem Router zum vollständigen Verlust der Kontrolle über das Gerät führen kann. Vorrangige Maßnahme ist das Update von RouterOS auf die korrigierten Versionen (6.49.21, 7.23.4/7.23.5 oder 7.24.2) mit anschließender Prüfung der Konfiguration auf alle genannten Indikatoren. Waren Management-Ports im Zeitraum seit dem 2. September aus dem Internet erreichbar, ist das Gerät als potenziell kompromittiert zu betrachten, und es sollte ein vollständiger Incident-Response-Prozess durchgeführt werden.