Kritische Sicherheitslücken in MikroTik RouterOS werden ausgenutzt (Sept. 2026)

Das Team von CERT Polska hat sechs Sicherheitslücken im  MikroTik RouterOS identifiziert. Durch die Kombination  zweier Sicherheitslücken zum "MikroTrick" Exploit kann ein Angreifer ohne Authentifizierung die vollständige Kontrolle über MikroTik-Router remote per SSH-Protokoll übernehmen.

Mir ist der Sachverhalt zum Wochenende einmal über nachfolgenden Tweet und diesen Hacker News-Beitrag sowie über eine Meldung von CERT Polska untergekommen.

Gemäß der am 5. September 2026 von CERT Polska veröffentlichten Angriffswarnung nutzen Angreifer den  Secure Shell (SSH)-Remote-Zugriffsdienst der MikroTik-Router, sofern dieser über das Internet erreichbar ist. Vom CERT Polska wurden die nachfolgenden Sicherheitslücken (mit weiteren Schwachstellen) in MikroTik RouterOS genannt:

• CVE-2026-67276; Umgehung der SSH-Authentifizierung (CVSS: 9,2): Im
  RouterOS wird der für die SSH-Authentifizierung verwendeten öffentlichen Schlüssel nicht ordnungsgemäß überprüft – insbesondere wurde nicht der gesamte öffentliche RSA-Schlüssel verglichen, der einem Benutzer zugewiesen war. Ein Angreifer, der den Benutzernamen und den öffentlichen Modulus des Schlüssels des Benutzers kannte, konnte einen anderen Schlüssel erstellen und sich über SSH anmelden, ohne über den entsprechenden privaten Schlüssel zu verfügen. Die dadurch erlangten Berechtigungen entsprachen denen des betroffenen Kontos.
• CVE-2026-86060; Manipulation der Berechtigungen in einer SSH-Sitzung durch einen manipulierten Benutzernamen (CVSS: 9,2): In RouterOS werden Benutzernamen, die mit einem unzulässigen Zeichen begannen, im SSH-Anmeldemechanismus nicht ordnungsgemäß verarbeitet. Durch die Verwendung eines manipulierten Benutzernamens konnte ein Angreifer seine Berechtigungen erweitern. Die daraus resultierende Sitzung verfügte über volle Administratorrechte im RouterOS-System.
• CVE-2026-67277; Offenlegung von Speicherdaten und Absturz durch den Bandbreitentest (CVSS: 8,8): Der Bandbreitentest-Dienst erlaubte es einer nicht authentifizierten Verbindung, in einen Zustand zu gelangen, der eigentlich erst nach der Anmeldung erreichbar sein sollte. In Kombination mit zwei separaten Schwachstellen – der Offenlegung nicht initialisierter Daten aus dem Paketpuffer und einem Integer-Unterlauf bei der Größenüberprüfung – ermöglichte dies ein Kernel-Speicherleck oder einen Remote-DoS-Angriff, der zu einem Systemneustart führte.

Als Betroffen werden von CERT Polska die nachfolgenden Versionen von MikroTik RouterOS genannt:

• RouterOS 7.24 Versionen unter 7.24.2
• RouterOS 7.0.0 Versionen unter 7.23.4
• RouterOS 6.0.0 Versionen unter 6.49.21

Technische Indikatoren und Informationen, die CERT Polska über interne Kanäle erhalten hat, deuteten darauf hin, dass die RouterOS-Sicherheitslücken möglicherweise seit dem 2. September 2026 angegriffen werden. CERT Polska gibt an, die Bestätigung zu haben, dass die Kombination zweier dieser Sicherheitslücken (MikroTrick) ausgenutzt werden, um die vollständige Kontrolle über Geräte zu erlangen. Das betrifft MikroTik-Router, deren SSH-Dienst von öffentlichen Netzwerken aus zugänglich ist.

MikroTik hat ein Firmware-Update veröffentlicht, das diese Angriffe verhindern soll. Details lassen sich der MikroTik-Sicherheitswarnung September 2026 vulnerability vom 3. September 2026 entnehmen.