Angreifer nutzen eine Schwachstellenkette in MikroTik RouterOS, um über einen aus dem Internet erreichbaren SSH-Dienst ohne vorherige Authentifizierung vollständige administrative Kontrolle über Router zu erlangen. CERT Polska beobachtet erfolgreiche Angriffe seit mindestens dem 2. September 2026 und warnt vor der als MikroTrick bezeichneten Kombination zweier kritischer Sicherheitslücken.
Betroffen sind ungepatchte RouterOS-Installationen, deren SSH-Fernzugang öffentlich erreichbar ist. Das ist eine wichtige Einschränkung: MikroTik-Geräte im Heimbereich blockieren Managementports in der Standardkonfiguration gegenüber dem Internet, solange die voreingestellten Firewallregeln intakt geblieben sind. Betreiber, die SSH bewusst freigeschaltet, Firewallregeln verändert oder Geräte ohne diese Standardabsicherung eingerichtet haben, müssen dagegen von einer konkreten Gefährdung ausgehen.
Ein Update ist die erste Maßnahme, aber bei bereits erfolgter Übernahme nicht die letzte. Angreifer mit administrativer Kontrolle können die Konfiguration verändern und dauerhafte Zugänge hinterlassen. Deshalb müssen Betreiber nach dem Patchen auch Benutzerkonten, Skripte, Protokolle und weitere Einstellungen kontrollieren.
Zwei kritische SSH-Lücken bilden die Angriffskette
Als zentrale Bestandteile von MikroTrick werden CVE-2026-67276 und CVE-2026-86060 geführt. Beide Schwachstellen sind mit einem CVSS-Wert von 9,2 bewertet. CVE-2026-67276 ermöglicht einen Bypass der SSH-Authentifizierung. CVE-2026-86060 betrifft die Manipulation von SSH-Sitzungsprivilegien über einen präparierten Benutzernamen. In Kombination erlauben sie den beobachteten Zugriff mit administrativen Rechten.
Betroffene RouterOS-Linien und Sicherheitsupdates
Die Grafik ordnet den betroffenen RouterOS-Versionszweigen die jeweils erforderliche korrigierte Version zu.
Damit handelt es sich nicht lediglich um eine theoretisch ausnutzbare Schwachstelle oder einen veröffentlichten Machbarkeitsnachweis. Angriffe wurden tatsächlich beobachtet. Wie viele Geräte kompromittiert wurden und wer hinter den Angriffen steht, ist bislang nicht bekannt. Auch lässt sich aus den veröffentlichten Zeitangaben nicht sicher ableiten, ob die Angriffe bereits vor der öffentlichen Verfügbarkeit der Patches begonnen haben. Ein Zero-Day-Status ist daher nicht bestätigt.
CERT Polska hatte insgesamt sechs RouterOS-Schwachstellen koordiniert offengelegt. Für den aktuell beobachteten Angriff ist jedoch vor allem die aus den beiden kritischen SSH-Problemen bestehende Kette relevant.
Diese RouterOS-Versionen müssen aktualisiert werden
In der RouterOS-6-Linie sind Versionen ab 6.0.0 und unter 6.49.21 betroffen. Version 6.49.21 enthält die Korrektur.
Bei RouterOS 7 betrifft die Warnung zunächst Versionen ab 7.0.0 und unter 7.23.4. Der erste Sicherheitsfix erschien mit 7.23.4. Für den Long-term-Kanal soll jedoch 7.23.5 verwendet werden: Diese Version korrigiert zusätzlich ein durch 7.23.4 eingeführtes Problem mit IPv6-DHCP und behält die Sicherheitskorrektur bei.
Installationen der 7.24-Linie unter 7.24.2 müssen auf 7.24.2 oder eine neuere geeignete Version aktualisiert werden. Für den Development-Kanal ist die Korrektur ab 7.25beta3 enthalten. Updates sollten ausschließlich über die offiziellen RouterOS-Downloads beziehungsweise die vorgesehenen Updatefunktionen bezogen werden. MikroTik informierte Nutzer zusätzlich per Push-Mitteilung über seine App.
Das reale Risiko hängt an der Management-Konfiguration
Die entscheidende Angriffsvoraussetzung ist kein physischer Zugang und auch kein vorhandenes Benutzerkonto, sondern ein öffentlich erreichbarer SSH-Dienst auf einer verwundbaren RouterOS-Version. Genau darin liegt die operative Trennlinie zwischen einer kritischen Produktlücke und der tatsächlichen Betroffenheit eines einzelnen Geräts.
Managementschnittstellen werden in der Praxis häufig für Fernwartung freigeschaltet. Bleibt ein solcher Zugang dauerhaft aus dem Internet erreichbar, wird eine fehlerhafte Authentifizierung unmittelbar zur externen Angriffsfläche. Eine starke Kennwortrichtlinie hilft gegen diese konkrete Kette nicht, weil die Anmeldung umgangen wird.
Bis ein Update installiert werden kann, empfiehlt CERT Polska, exponierte Dienste abzuschalten oder auf vertrauenswürdige Managementnetze zu beschränken. Das gilt insbesondere für SSH, WWW beziehungsweise WWW-SSL und den Bandwidth-Test-Dienst. Von einem ungepatchten Gerät aus sollten außerdem keine TLS-Verbindungen und keine Verbindungen mit dem integrierten SSH-Client aufgebaut werden. Diese Einschränkungen sind nur Übergangsmaßnahmen und ersetzen das Update nicht.
Nach dem Patch muss die Konfiguration geprüft werden
Administratoren sollten nach der Aktualisierung die RouterOS-Protokolle und den Gerätestatus mit /system/device-mode/print prüfen. RouterOS kann ein Gerät als Flagged markieren, wenn Startprüfungen verdächtige Konfigurationseinträge erkennen. Das System deaktiviert solche Einträge und schränkt bestimmte Funktionen ein.
Ein fehlender Flagged-Hinweis ist allerdings kein Beleg dafür, dass das Gerät sauber ist. Zu den von CERT Polska genannten Indikatoren gehören unerwartete, hochprivilegierte Konten mit dem Namen ops sowie Protokolle zur Kontoerstellung, die ssh:-2@ enthalten. Zusätzlich sollten unbekannte Benutzer, Skripte und nicht nachvollziehbare Konfigurationsänderungen untersucht werden.
Gibt es Hinweise auf eine Kompromittierung, sollte der Router zunächst vom Netz isoliert werden. Vor einem Zurücksetzen sind Protokolle und Konfigurationen für die Untersuchung zu sichern. Ein gesetzter Flagged-Status sollte nicht vorschnell gelöscht werden, weil dadurch Spuren verloren gehen können.
CERT Polska empfiehlt anschließend das Zurücksetzen auf Werkseinstellungen und einen Neuaufbau mit einer vertrauenswürdigen, überprüften Konfiguration. Ein vollständiges Backup des möglicherweise kompromittierten Geräts sollte nicht ungeprüft wieder eingespielt werden. Verwendete Passwörter, Schlüssel und weitere Geheimnisse sind zu ersetzen.
Der Vorfall macht damit einen häufig übersehenen Unterschied sichtbar: Patchmanagement beendet die Verwundbarkeit, beseitigt aber keine Änderungen, die ein Angreifer vorher mit administrativen Rechten vorgenommen hat. Bei öffentlich erreichbarer Routerverwaltung besteht die Arbeit deshalb aus zwei getrennten Schritten – die Lücke schließen und danach feststellen, ob der Router noch unter der alleinigen Kontrolle seines Betreibers steht.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
