{"id":51403,"date":"2026-09-06T18:40:25","date_gmt":"2026-09-06T16:40:25","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=51403"},"modified":"2026-09-06T18:40:25","modified_gmt":"2026-09-06T16:40:25","slug":"angreifer-kapern-mikrotik-router-per-ssh-ohne-authentifizierung","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/angreifer-kapern-mikrotik-router-per-ssh-ohne-authentifizierung\/","title":{"rendered":"Angreifer kapern MikroTik-Router per SSH ohne Authentifizierung"},"content":{"rendered":"<p>Angreifer nutzen derzeit eine kritische Sicherheitsl\u00fccke in MikroTik-Routern aus, die eine vollst\u00e4ndige administrative Kontrolle \u00fcber das Ger\u00e4t \u00fcber den SSH-Dienst erm\u00f6glicht \u2013 und das ohne Authentifizierung. Die polnische CERT Polska warnte am 5. September 2026 vor aktiven Angriffen, die seit mindestens dem 2. September beobachtet werden. Die Schwachstelle betrifft eine Vielzahl von RouterOS-Versionen und erfordert sofortiges Handeln.<\/p>\n<h2>Betrofene RouterOS-Versionen und verf\u00fcgbare Patches<\/h2>\n<p>CERT Polska hat die betroffenen Versionen identifiziert. MikroTik hat zeitnah Sicherheitsupdates ver\u00f6ffentlicht:<\/p>\n<ul>\n<li><strong>RouterOS 6:<\/strong> Versionen von 6.0.0 bis unter 6.49.21 \u2013 Fix in 6.49.21 (Sicherheitsrelease).<\/li>\n<li><strong>RouterOS 7 (Long-Term):<\/strong> Versionen von 7.0.0 bis unter 7.23.4 \u2013 Fix in 7.23.4 (empfohlen wird jedoch 7.23.5, das einen IPv6-DHCP-Regressionsfehler behebt).<\/li>\n<li><strong>RouterOS 7 (Stable):<\/strong> Versionen von 7.24 bis unter 7.24.2 \u2013 Fix in 7.24.2 (Stables Sicheheitsrelease).<\/li>\n<li><strong>Development Channel:<\/strong> Fix in 7.25beta3 (keine betrofene Version genant).<\/li>\n<\/ul>\n<p>Die Udates sollten umgehend instalirt werden. CERT Polska betont, dass die Patches die beobachteten Angriffe zuverl\u00e4ssig unterbinden.<\/p>\n<h2>Wie die Angriffe ablufen und worauf Administratorn achten solten<\/h2>\n<p>Die Angreifer greifen \u00fcber den \u00f6ffentlich erreichbaren SSH-Dienst auf die Router zu. Standardm\u00e4\u00dfig blockieren MikroTik-Heimrouter den Zugriff auf Verwaltungsports, sole die Firewall-Regeln nicht ge\u00e4ndert wurden. Dennoch sind viele Ger\u00e4te ausgesetzt, etw wenn Administratorn den Fernzugriff bewust freigeschaltet haben oder die Standard-Firewall deaktiviert ist. Die genaue technische Ursache der Schwachstelle ist noch nicht \u00f6ffentlich bekannt, aber CERT Polska spricht von einer Kombination zweier Sicheheitsl\u00fccken, die als \u201eMikroTrick\u201c bezeicnet wird.<\/p>\n<p>Administratoren solten nach der Instalation des Updates folgende Anzeicen f\u00fcr eine Kompromitierung pr\u00fcfen:<\/p>\n<ul>\n<li>Unbekante hochprivilegierte \u201eops\u201c- Benutzerkonten<\/li>\n<li>Log-Eintr\u00e4ge, die auf die Erstelung solcher Konten hinweisen und den String \u201essh:-2@\u201c enthalten<\/li>\n<li>Verd\u00e4chtige Skripte oder Konfigurations\u00e4nderungen<\/li>\n<\/ul>\n<p>MikroTiks \u201eFlagged\u201c-Status zeigt an, wenn das System bei Startpr\u00fcfungen auff\u00e4llige Konfiguration erkennt. Nach dem Update solte der Befehl <strong>\/system\/de vice-mode\/print<\/strong> ausgef\u00fchrt werden, um den Status zu \u00fcberpr\u00fcfen.<\/p>\n<h2>Emfohlene Sofortma\u00dfnamen bis zur Instalation des Updates<\/h2>\n<p>Bis das Update aufgespielt werden kann, empfielt CERT Polska folgende Schutzma\u00dfnahmen:<\/p>\n<ul>\n<li>Deaktivieren Sie den SSH-, WWW\/WW-SSL- und Bandbreitentest-Zugriff \u00f6ffentlich oder beschr\u00e4nken Sie ihn auf vertrauensw\u00fcrdige Verwaltungsnetze.<\/li>\n<li>Verzichten Sie darauf, vom ungepatchten Ger\u00e4t aus TLS-Verbindungen (z.B. HTTPS) herzustelen oder den integrierten SSH-Clent zu verwnden.<\/li>\n<\/ul>\n<p>Dese Ma\u00dfnamen sind nur vor\u00fcberghend und ersetzen nicht das Einspilen des Sicheheitsupdates.<\/p>\n<h2>Wiederhrestelung nach einer Kompromitierung<\/h2>\n<p>Wenn Anzeicen f\u00fcr einen Angrif vorliegen, solten Administratorn folgende Schrite befolgen. Wichtig: Vor dem Zur\u00fccksetzen des Ger\u00e4ts m\u00fcssen Beweise gesichert werden. CERT Polska stellt eine Anleitung (auf Polnisch) zur Verf\u00fcgung, um Logs und Konfiguration zu exportieren und herunterzuladen.<\/p>\n<ol>\n<li>Isolieren Sie den Router vom Netzwerk und sichern Sie Logs und Konfiguration. Setzen Sie das Ger\u00e4t erst zur\u00fcck, nachdem die Beweise gesichert und analysiert wurden.<\/li>\n<li>Stelen Sie die Werksinstelungen wieder her und bauen Sie die Konfiguration au f einer vertrauensw\u00fcrdigen, \u00fcberpr\u00fcften Basis auf. Stelen Sie kein vollst\u00e4ndiges Backup von dem potenziell kompromittierten Ger\u00e4t blind wieder her.<\/li>\n<li>\u00c4ndern Sie alle Passw\u00f6rter, Schl\u00fcssel und anderen Geheimnisse, die in der Konfiguration verwendet wurden.<\/li>\n<\/ol>\n<p>Die genaue Zeitleste der Entdekung und Ver\u00f6ffentlichung der Patches wirft Fragen au f. W\u00e4hrend MikroTik die ersten Fixes am 3. September ank\u00fcndigte, datieren die \u00e4ltesten bekannten Angriffe au f den 2. September. Ob die L\u00fccke vor der Ver\u00f6ffentlichung bereits aktiv ausgenutzt wurde \u2013 also als Zero-Day \u2013, ist derzeit nicht best\u00e4tigt. D enn och zeigt der Vorfall, wie verwindbar netzwerkf\u00e4hige Ger\u00e4te sind, wenn Verwaltungsdienste ungesch\u00fctzt im Internet erreichbar sind. Administratoren solten dringend ihre MikroTik-Ger\u00e4te \u00fcberpr\u00fcfen und die empfohlenen Udates und Ma\u00dfnamen umseten.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Angreifer nutzen derzeit eine kritische Sicherheitsl\u00fccke in MikroTik-Routern aus, die eine vollst\u00e4ndige administrative Kontrolle \u00fcber das Ger\u00e4t \u00fcber den SSH-Dienst erm\u00f6glicht \u2013 und das ohne Authentifizierung. Die polnische CERT Polska warnte am 5. September 2026 vor aktiven Angriffen, die seit mindestens dem 2. September beobachtet werden. Die Schwachstelle betrifft eine Vielzahl von RouterOS-Versionen und erfordert [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":54888,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51403.png","fifu_image_alt":"Angreifer kapern MikroTik-Router per SSH ohne Authentifizierung","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-51403","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51403.png","fifu_image_alt":"Angreifer kapern MikroTik-Router per SSH ohne Authentifizierung","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51403","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=51403"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51403\/revisions"}],"predecessor-version":[{"id":51404,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51403\/revisions\/51404"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/54888"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=51403"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=51403"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=51403"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}