MikroTik-SSH-Kette einen Tag vor dem Patch vom 3. September genutzt

Polens nationales Cybersicherheitsteam CERT Polska erklärte am 5. September, Angreifer übernähmen die volle Administratorkontrolle über MikroTik-Router, deren SSH-Dienst aus öffentlichen Netzen erreichbar ist — über eine Kette aus zwei Schwachstellen, die das Team „MikroTrick" nennt. Gültige Zugangsdaten sind dafür nicht nötig.

Die Veröffentlichung von CERT Polska beschreibt die Kette in zwei Schritten. Bei CVE-2026-67276 gleicht RouterOS einen eingehenden SSH-Schlüssel mit dem Schlüssel des berechtigten Nutzers nur über Typ und Modulus ab und lässt den Exponenten außer Acht; wer den RSA-Modulus dieses Nutzers kennt, kann einen Schlüssel mit dem Exponenten eins vorlegen, eine passende Signatur fälschen und ohne den privaten Schlüssel hineinkommen. CVE-2026-86060 ist eine Argument-Injection im SSH-Anmeldepfad, ausgelöst durch Benutzernamen, die mit einem verbotenen Zeichen beginnen; damit lässt sich die Rechtemaske von RouterOS verändern und auf Administratorrechte ausweiten. Insgesamt veröffentlichte das Team sechs CVEs. Eine davon, CVE-2026-67277, führt dazu, dass RouterOS eine „related"-Verbindung des Bandbreitentests akzeptiert, bevor die zugehörige Hauptsitzung authentifiziert ist — laut CERT Polska kann das Kernelspeicher preisgeben oder das Gerät neu starten lassen.

Die Schärfe liegt im Zeitplan. MikroTik veröffentlichte die korrigierten Versionen am 3. September — RouterOS 6.49.21, 7.23.4, 7.24.2 und die Entwicklerversion 7.25beta3 — und nennt die Auslieferung auf seiner Sicherheitsseite „ein wichtiges Sicherheitsupdate" mit dem Zusatz, die „meisten Konfigurationen sind nicht gefährdet, ein Upgrade wird aber dringend empfohlen". CERT Polska datiert die beobachteten Angriffe dagegen auf mindestens den 2. September, also einen Tag, bevor es diese Versionen gab. Die bisher gesehenen erfolgreichen Angriffe, darunter das Anlegen eines Kontos namens „ops", führt das Team auf die IP-Adresse 82.192.72.4 zurück, weitere Ausnutzungsversuche auf 103.102.31.18.

Das zweite Problem ist die Größenordnung. Die Shadowserver Foundation zählte zum 5. September rund 122.500 MikroTik-Geräte mit ins Internet offenem SSH; die Zahl berichtete BleepingComputer. MikroTik-Hardware ist bei kleinen Internetanbietern, Unternehmen und Heimnetzwerkern verbreitet, und ein Router liegt im Pfad jeder Verbindung dahinter — das unterscheidet den Fall von einem Fehler in einer einzelnen Anwendung.

Wie viele dieser Geräte für die vollständige Kette anfällig sind, ist unbekannt: CERT Polska hat dazu keine Zahl genannt, und betroffen sind nur Geräte, deren SSH aus dem offenen Internet erreichbar ist. Administratoren können nach den genannten Merkmalen suchen — Logzeilen wie „login failure for user -2 ... via ssh" oder „user <Name> added by ssh:-2@<IP>" sowie unbekannten, hoch privilegierten Konten wie einem Nutzer namens „ops" — doch CERT Polska warnt, dass deren Fehlen unbefugte Aktivität nicht ausschließt. Der Rat des Teams: erst aktualisieren, dann das Gerät prüfen. MikroTik rät, SSH aus nicht vertrauenswürdigen Netzen herauszuhalten, den Port auf vertrauenswürdige IPs zu begrenzen oder den Router über ein VPN wie WireGuard zu erreichen. Kompromittierte Geräte sollten laut CERT Polska isoliert und ihre Logs vor einem Zurücksetzen gesichert werden.