Das polnische Computer Emergency Response Team (CERT Polska) hat Anfang September 2026 Details zu einer Serie kritischer Schwachstellen in MikroTik RouterOS veröffentlicht. Unter dem Namen „MikroTrick“ wird eine gefährliche Exploit-Kette zusammengefasst, die es nicht authentifizierten Angreifern aus dem Internet ermöglicht, die vollständige Kontrolle über verwundbare MikroTik-Router und -Switches zu übernehmen.

Besonders alarmierend: Die Schwachstellen wurden bereits vor dem Patchday aktiv in freier Wildbahn ausgenutzt. MikroTik hat am 03. September 2026 Sicherheitsupdates für alle unterstützten RouterOS-Zweige bereitgestellt und Administratoren sogar per Push-Benachrichtigung über die MikroTik-Smartphone-App alarmiert.

Die Schwachstellen im Detail: Wie „MikroTrick“ funktioniert

Die unter dem Namen MikroTrick von CERT Polska dokumentierte Angriffskette kombiniert im Wesentlichen zwei gravierende Sicherheitslücken im SSH-Dienst von RouterOS:

1. SSH Authentication Bypass (CVE-2026-67276, CVSS 9.2)

Die Schwachstelle liegt in einer unzureichenden kryptografischen Validierung von RSA-Public-Keys beim SSH-Login. RouterOS prüfte bei der Authentifizierung zwar den Schlüsseltyp und das Modul (modulus $N$), versäumte es jedoch, den öffentlichen Exponenten (exponent $e$) vollständig zu verifizieren.

Ein Angreifer, der den Benutzernamen sowie das öffentliche RSA-Modul eines berechtigten Benutzers kennt, kann einen manipulierten Schlüssel mit dem Exponenten $e = 1$ generieren und so eine valide Signatur fälschen. Dadurch gelingt die SSH-Anmeldung am Gerät, ohne im Besitz des dazugehörigen privaten Schlüssels zu sein.

2. Privilege Escalation via Crafted Username (CVE-2026-86060, CVSS 9.2)

Parallel zur Authentifizierungsumgehung existiert ein Fehler in der internen Session- und Rechteverwaltung. Durch die Übergabe einer speziell präparierten Zeichenkette als Benutzername während des SSH-Verbindungsaufbaus gelingt es dem Angreifer, die Session-Policies auszuhebeln und sich administrative Vollzugriffsrechte (write, policy, full) zu verschaffen.

Die Kombination als Exploit-Kette

Werden beide Lücken hintereinandergeschaltet, verwandelt sich das Gespann in eine verheerende Remote-Takeover-Kette: Über das Internet erreichbare Router können ohne gültiges Kennwort oder privaten SSH-Schlüssel kompromittiert und mit vollen Administratorrechten übernommen werden.

Weitere identifizierte Schwachstellen

Im Rahmen der Untersuchungen von CERT Polska wurden insgesamt sechs Schwachstellen in verschiedenen Komponenten von RouterOS aufgedeckt:

  • CVE-2026-67277 (CVSS 8.8): Fehler im bandwidth-test-Dienst, der zu einem Kernel-Memory-Leak oder Remote Denial-of-Service (Kernel-Panics und Neustarts) führen kann.
  • CVE-2026-67278 & CVE-2026-67279: Schwachstellen bei der Verarbeitung von X.509-Zertifikaten.
  • CVE-2026-67281: Sicherheitslücke in der Weboberfläche WebFig.

Aktive Angriffe in freier Wildbahn

CERT Polska und Sicherheitsforscher beobachten seit mindestens Anfang September 2026 weltweite Scan- und Angriffswellen auf RouterOS-Geräte, deren SSH-Port (Port 22) ungeschützt im öffentlichen Internet erreichbar ist.

Bei erfolgreicher Kompromittierung führen Angreifer typischerweise folgende Aktionen durch:

  • Hinterlegung von Backdoor-Konten: Anlegen unautorisierter Administrator-Benutzer (häufig mit unauffälligen Namen wie ops oder zufälligen Kennungen).
  • Persistenz über Skripte: Einrichtung manipulativer Einträge unter /system script und zeitgesteuerter Ausführung via /system scheduler.
  • Missbrauch als Relay / Proxy: Aktivierung von SOCKS- oder HTTP-Proxys (/ip proxy, /ip socks) sowie Einrichtung von Tunneln (WireGuard, GRE, EoIP), um den Router für Angriffe auf interne Netzwerke oder kriminelle Proxynetzwerke zu missbrauchen.
  • Firewall-Modifikationen: Aufweichen der Filterregeln, um spätere Zugriffe abzusichern.

Welche Versionen beheben das Problem?

MikroTik hat umgehend reagiert und schließt die Lücken mit den folgenden RouterOS-Versionen (veröffentlicht am 03.09.2026):

  • RouterOS v7 (Stable/Upgrade): ab Version 7.24.2 bzw. 7.23.4
  • RouterOS v7 (Testing/Beta): ab Version 7.25beta3
  • RouterOS v6 (Long-term / Legacy): ab Version 6.49.21

Zusätzlich hat MikroTik in den bereinigten Versionen eine automatische Integritätsprüfung beim Systemstart integriert: Wird eine verdächtige Konfigurationsänderung aus früheren Angriffen erkannt, erscheint im Systemprotokoll der Vermerk „Flagged“.

Dringender Appell: Halten Sie Ihre Geräte unbedingt aktuell!

Router, Firewalls und zentrale Switches sind das Fundament jeder sicheren IT-Infrastruktur. Werden diese Perimeter-Geräte vernachlässigt, steht Angreifern das Tor zum gesamten Firmen- oder Heimnetzwerk sperrangelweit offen.

Wir weisen alle Betreiber von MikroTik-Geräten mit allem Nachdruck darauf hin:

  1. Geräte immer aktuell halten: Spielen Sie die neuesten Software-Versionen von RouterOS zeitnah und gewissenhaft auf allen Geräten ein. Das Einspielen von Sicherheitsupdates ist keine optionale Wartungsaufgabe, sondern die wichtigste Schutzmaßnahme überhaupt.
  2. Management-Dienste niemals ins Internet exponieren: Kein SSH-, WinBox- (8291), WebFig- (80/443) oder Bandwidth-Test-Port (2000) sollte jemals ungeschützt an öffentlichen IP-Adressen lauschen. Der administrative Zugriff gehört ausnahmslos in separate Management-VLANs oder muss über verschlüsselte VPNs (wie z. B. WireGuard) und restriktive IP-Zugriffslisten (/ip service set ssh address=...) abgesichert werden.
  3. Geräte auf Kompromittierung prüfen:
    • Prüfen Sie Benutzerkonten: /user print
    • Prüfen Sie geplante Tasks und Skripte: /system scheduler print und /system script print
    • Kontrollieren Sie offene Proxys und Tunnel: /ip proxy print, /ip socks print, /interface wireguard print, /interface eoip print
    • Prüfen Sie Firewall- und NAT-Regeln: /ip firewall filter print, /ip firewall nat print
  4. Im Zweifelsfall: Netinstall und Neuaufbau: Besteht der Verdacht auf eine erfolgte Kompromittierung, empfiehlt sich ein vollständiges Neuaufsetzen des Geräts via MikroTik Netinstall, gefolgt von einer sauberen Neukonfiguration (kein unbesehenes Einspielen verdächtiger binärer Backups!).