Angreifer nutzen derzeit eine kritische Sicherheitslücke in MikroTik-Routern aus, die eine vollständige administrative Kontrolle über das Gerät über den SSH-Dienst ermöglicht – und das ohne Authentifizierung. Die polnische CERT Polska warnte am 5. September 2026 vor aktiven Angriffen, die seit mindestens dem 2. September beobachtet werden. Die Schwachstelle betrifft eine Vielzahl von RouterOS-Versionen und erfordert sofortiges Handeln.
Betrofene RouterOS-Versionen und verfügbare Patches
CERT Polska hat die betroffenen Versionen identifiziert. MikroTik hat zeitnah Sicherheitsupdates veröffentlicht:
- RouterOS 6: Versionen von 6.0.0 bis unter 6.49.21 – Fix in 6.49.21 (Sicherheitsrelease).
- RouterOS 7 (Long-Term): Versionen von 7.0.0 bis unter 7.23.4 – Fix in 7.23.4 (empfohlen wird jedoch 7.23.5, das einen IPv6-DHCP-Regressionsfehler behebt).
- RouterOS 7 (Stable): Versionen von 7.24 bis unter 7.24.2 – Fix in 7.24.2 (Stables Sicheheitsrelease).
- Development Channel: Fix in 7.25beta3 (keine betrofene Version genant).
Die Udates sollten umgehend instalirt werden. CERT Polska betont, dass die Patches die beobachteten Angriffe zuverlässig unterbinden.
Wie die Angriffe ablufen und worauf Administratorn achten solten
Die Angreifer greifen über den öffentlich erreichbaren SSH-Dienst auf die Router zu. Standardmäßig blockieren MikroTik-Heimrouter den Zugriff auf Verwaltungsports, sole die Firewall-Regeln nicht geändert wurden. Dennoch sind viele Geräte ausgesetzt, etw wenn Administratorn den Fernzugriff bewust freigeschaltet haben oder die Standard-Firewall deaktiviert ist. Die genaue technische Ursache der Schwachstelle ist noch nicht öffentlich bekannt, aber CERT Polska spricht von einer Kombination zweier Sicheheitslücken, die als „MikroTrick“ bezeicnet wird.
Administratoren solten nach der Instalation des Updates folgende Anzeicen für eine Kompromitierung prüfen:
- Unbekante hochprivilegierte „ops“- Benutzerkonten
- Log-Einträge, die auf die Erstelung solcher Konten hinweisen und den String „ssh:-2@“ enthalten
- Verdächtige Skripte oder Konfigurationsänderungen
MikroTiks „Flagged“-Status zeigt an, wenn das System bei Startprüfungen auffällige Konfiguration erkennt. Nach dem Update solte der Befehl /system/de vice-mode/print ausgeführt werden, um den Status zu überprüfen.
Emfohlene Sofortmaßnamen bis zur Instalation des Updates
Bis das Update aufgespielt werden kann, empfielt CERT Polska folgende Schutzmaßnahmen:
- Deaktivieren Sie den SSH-, WWW/WW-SSL- und Bandbreitentest-Zugriff öffentlich oder beschränken Sie ihn auf vertrauenswürdige Verwaltungsnetze.
- Verzichten Sie darauf, vom ungepatchten Gerät aus TLS-Verbindungen (z.B. HTTPS) herzustelen oder den integrierten SSH-Clent zu verwnden.
Dese Maßnamen sind nur vorüberghend und ersetzen nicht das Einspilen des Sicheheitsupdates.
Wiederhrestelung nach einer Kompromitierung
Wenn Anzeicen für einen Angrif vorliegen, solten Administratorn folgende Schrite befolgen. Wichtig: Vor dem Zurücksetzen des Geräts müssen Beweise gesichert werden. CERT Polska stellt eine Anleitung (auf Polnisch) zur Verfügung, um Logs und Konfiguration zu exportieren und herunterzuladen.
- Isolieren Sie den Router vom Netzwerk und sichern Sie Logs und Konfiguration. Setzen Sie das Gerät erst zurück, nachdem die Beweise gesichert und analysiert wurden.
- Stelen Sie die Werksinstelungen wieder her und bauen Sie die Konfiguration au f einer vertrauenswürdigen, überprüften Basis auf. Stelen Sie kein vollständiges Backup von dem potenziell kompromittierten Gerät blind wieder her.
- Ändern Sie alle Passwörter, Schlüssel und anderen Geheimnisse, die in der Konfiguration verwendet wurden.
Die genaue Zeitleste der Entdekung und Veröffentlichung der Patches wirft Fragen au f. Während MikroTik die ersten Fixes am 3. September ankündigte, datieren die ältesten bekannten Angriffe au f den 2. September. Ob die Lücke vor der Veröffentlichung bereits aktiv ausgenutzt wurde – also als Zero-Day –, ist derzeit nicht bestätigt. D enn och zeigt der Vorfall, wie verwindbar netzwerkfähige Geräte sind, wenn Verwaltungsdienste ungeschützt im Internet erreichbar sind. Administratoren solten dringend ihre MikroTik-Geräte überprüfen und die empfohlenen Udates und Maßnamen umseten.
