Executive Security Advisory: MikroTik RouterOS – aktive Angriffe ermöglichen Router-Übernahme
Management-Zusammenfassung: CERT Polska bestätigt aktive Angriffe auf MikroTik RouterOS. Bei Geräten, deren SSH-Dienst aus öffentlichen Netzen erreichbar ist, kann die Kombination aus CVE-2026-67276 und CVE-2026-86060 zur vollständigen Übernahme des Routers führen. MikroTik hat korrigierte Versionen veröffentlicht; exponierte Systeme sollten sofort aktualisiert und geprüft werden.
Was ist MikroTik RouterOS? RouterOS ist das Betriebssystem vieler MikroTik-Router, Firewalls und Netzwerk-Gateways. Solche Geräte stehen häufig direkt am Übergang zwischen Firmennetz und Internet und steuern Routing, VPN, Firewalling und administrative Zugänge.
Worum geht es? CVE-2026-67276 betrifft die SSH-Authentifizierung und kann unter bestimmten Voraussetzungen die Anmeldung ohne den legitimen privaten RSA-Schlüssel ermöglichen. CVE-2026-86060 erlaubt über eine speziell präparierte Benutzerkennung eine Eskalation bis zu vollständigen administrativen RouterOS-Rechten. CERT Polska beobachtet die kombinierte Ausnutzung dieser Schwachstellen in realen Angriffen.
Wer ist besonders betroffen? Priorität haben RouterOS-Geräte, bei denen SSH oder andere Management-Dienste direkt aus dem Internet erreichbar sind. MikroTik weist darauf hin, dass die Standardkonfiguration SSH aus dem Internet blockiert; manuell freigegebene Management-Ports sind daher besonders kritisch.
Sofortmaßnahmen: Aktualisieren Sie RouterOS auf eine korrigierte Version: 7.25beta3, 7.24.2, 7.23.4 oder 6.49.21 beziehungsweise eine neuere vom Hersteller freigegebene Version. Ist ein sofortiges Update nicht möglich, sperren Sie SSH, WWW/WWW-SSL und bandwidth-test für alle nicht vertrauenswürdigen Netze. Prüfen Sie nach dem Update den Flagged-Status, Logs sowie die Konfiguration auf unbekannte Benutzer, Skripte, Scheduler-Einträge, Proxies und Tunnel.
Hinweise auf Kompromittierung: CERT Polska nennt unter anderem Log-Einträge mit „login failure for user -2“, neu per „ssh:-2“ angelegte Benutzer sowie einen privilegierten Benutzer „ops“. Der Flagged-Status kann zusätzliche Hinweise liefern; ein fehlender Flag bedeutet jedoch nicht, dass das Gerät sicher ist.
Was Sie Ihren IT-Dienstleister fragen sollten: 1. Haben wir MikroTik-/RouterOS-Geräte mit direkt aus dem Internet erreichbarem SSH oder anderen Management-Ports? 2. Sind alle Geräte bereits auf eine korrigierte RouterOS-Version aktualisiert? 3. Wurden Logs, Flagged-Status und Konfiguration aktiv auf Hinweise einer Übernahme geprüft?
Unsere Einschätzung: Hohe Priorität für internet-exponierte MikroTik-Systeme. Da eine aktive Ausnutzung mit vollständiger Geräteübernahme bestätigt ist, sollten Patchen, Entfernen unnötiger Internet-Exposition und Kompromittierungsprüfung nicht bis zum nächsten regulären Wartungsfenster warten. Quellen: CERT Polska, 5. September 2026; MikroTik Security Advisory, 3. September 2026.
