Am 5. September 2026 hat CERT Polska sechs Schwachstellen in MikroTik RouterOS veröffentlicht. Zwei davon lassen sich zu etwas verketten, das jeder Netzbetreiber zweimal lesen sollte: volle Kontrolle über den Router per SSH, ohne Passwort, ohne privaten Schlüssel. CERT Polska nennt die Kette MikroTrick. Sie wird mindestens seit dem 2. September aktiv ausgenutzt, zwei Tage vor dem Advisory und einen Tag bevor MikroTik die Fixes veröffentlicht hat.
Wer MikroTik als Filial- oder Kundenrouter betreibt, findet hier, was passiert ist, wer tatsächlich betroffen ist und was diese Woche zu tun ist.
Was MikroTrick ist
Zwei Fehler, eine Kette. CVE-2026-67276 (CVSS 9.2) umgeht die SSH-Authentifizierung: RouterOS vergleicht beim Abgleich mit den hinterlegten Schlüsseln nicht den vollständigen RSA-Public-Key. Wer den Modulus eines berechtigten Schlüssels kennt, kann einen Schlüssel mit Exponent eins vorlegen, eine gültige Signatur fälschen und eine SSH-Sitzung als dieser Benutzer öffnen, ganz ohne privaten Schlüssel. CVE-2026-86060 übernimmt ab da: ein Fehler in der Argumentverarbeitung des SSH-Logins erlaubt es, mit einem Benutzernamen, der mit einem verbotenen Zeichen beginnt, die Policy-Maske umzuschreiben. Das ist die Rechteausweitung auf Vollzugriff.
Zusammen heißt das: SSH aus dem Internet erreichbar plus ungepatchtes RouterOS ergibt einen Router, der jemand anderem gehört. MikroTik hat beides am 3. September in RouterOS 6.49.21, 7.23.4, 7.24.2 und 7.25beta3 behoben. CERT Polska bestätigt aktive Angriffe auf Geräte, deren SSH-Dienst aus öffentlichen Netzen erreichbar ist.
Ausgenutzt, bevor es den Patch gab
Angriffe ab dem 2. September, Fix am 3. September, Advisory am 5. September. Jedes RouterOS-Gerät, dessen SSH in diesem Fenster aus dem Internet erreichbar war, gilt als möglicherweise kompromittiert, nicht nur als ungepatcht.
Wer betroffen ist
Die Kette braucht genau eines: einen SSH-Dienst, der aus dem öffentlichen Internet antwortet. Das ist bei erstaunlich vielen MikroTik-Routern der Normalzustand, weil sie günstig und leistungsfähig sind und oft einmal von dem eingerichtet wurden, der gerade Zeit hatte. Filialen, Ladengeschäfte, kleine Provider, Hotspot-Gateways. Die Router sind in Ordnung. Das Problem ist die Management-Ebene, die ins Internet zeigt.
Ein Router, dessen SSH, Winbox, WebFig und API nur aus einem definierten Management-Netz erreichbar sind, ist für diese Kette gar nicht erreichbar. Patchen bleibt Pflicht, die Abschottung verschafft die Zeit, es in Ruhe zu tun.
Was diese Woche zu tun ist
Die Empfehlung von CERT Polska ist kurz und in dieser Reihenfolge sinnvoll:
- Auf RouterOS 6.49.21, 7.23.4 oder 7.24.2 aktualisieren. Das Update ist die Lösung, alles andere ist Eindämmung.
- Nach Benutzern suchen, die niemand angelegt hat, und nach Skripten und Schedulern, die niemand kennt. Persistenz auf einem kompromittierten RouterOS ist meist ein Skript, kein Binary.
- SSH, Winbox, WebFig und API auf die eigenen Management-Adressen beschränken und ganz vom WAN-Interface nehmen. Wer nicht einschränken kann, schaltet den Dienst ab.
- Zugangsdaten und SSH-Schlüssel auf jedem Gerät tauschen, das ungepatcht aus dem Internet erreichbar war.
Warum gemanagte CPEs außen vor sind
Bei ZERO-CONNECT stehen MikroTik-Geräte als MPLS-CPEs an den Standorten der Kunden, auf RouterOS-Versionen, die von diesem Advisory erfasst sind. Erreichen konnte sie damit niemand. Der Management-Zugang dieser gemanagten CPEs ist auf unsere Management-Quelladressen beschränkt: kein SSH, Winbox, WebFig oder API aus dem öffentlichen Internet, an keinem Standort, per Design und nicht als Ausnahme. Die Angriffskette findet keine Tür.
Den Patch sparen wir uns deshalb nicht. Die korrigierte RouterOS-Version ist übers Wochenende auf alle gemanagten CPEs ausgerollt worden; das letzte Wartungsfenster war am Montagmorgen, 7. September, durch, zwei Tage nach dem Advisory. Der Kunde musste weder das Advisory verfolgen noch das Update planen noch anschließend nach fremden Benutzern suchen. Das ist der Teil von "managed", der auf keiner Preisliste steht, bis eine Woche wie diese kommt.
Der ehrliche Teil
Die Abschottung der Management-Ebene ersetzt das Patchen nicht, sie macht aus dem Patch einen Termin statt eines Vorfalls. Ein abgeschotteter Router mit neun Jahre alter Firmware bleibt ein Risiko, sobald der nächste Fehler auf einem anderen Port landet. Es braucht beides. Der Vorteil einer gemanagten CPE ist nicht, dass sie ein besserer Router ist, sondern dass jemand dafür bezahlt wird, beides zu tun, jedes Mal, an jedem Standort.
Wer seine MikroTik-Flotte selbst betreibt: aktualisieren, Benutzer und Skripte prüfen, Management-Ports vom Internet nehmen. Wer sie lieber gar nicht selbst betreiben möchte, findet unten das Gespräch dazu.