// HEISE ONLINE — MOBILE & WEB
MikroTrick: RouterOS-Lücken werden aktiv ausgenutzt – jetzt patchen
CERT Polska warnt vor aktiv ausgenutzten Lücken in MikroTik RouterOS. Über SSH lassen sich Router ohne Zugangsdaten komplett übernehmen. Update dringend nötig.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Wer einen MikroTik-Router mit aus dem Internet erreichbarem SSH-Dienst betreibt, sollte umgehend handeln: Das polnische CERT Polska hat sechs Sicherheitslücken in MikroTik RouterOS identifiziert und deren koordinierte Offenlegung organisiert. Zwei davon lassen sich zu einer Angriffskette verketten, für die die Forscher den Namen „MikroTrick“ erfunden haben. Sie verschafft Angreifern die vollständige Kontrolle über ein Gerät – ganz ohne gültige Zugangsdaten, sofern der SSH-Dienst aus öffentlichen Netzen erreichbar ist.
Besonders brisant: Die Sicherheitsforscher beobachten seit einigen Tagen laufende Angriffe auf RouterOS-Geräte. Erst im Rahmen dieser Angriffe hat CERT Polska diese Lücken entdeckt, wie sie in ihrem Advisory bestätigen. Mittlerweile stellt der Hersteller zwar Updates bereit, die diese Lücken schließen. Doch Admins von MikroTik-Routern mit erreichbarem SSH-Zugang sollten diese als bereits kompromittiert betrachten und nicht nur patchen, sondern gründlich untersuchen und reinigen.
Die MikroTrick-Angriffe nutzen zunächst die Tatsache aus, dass der SSH-Server von RouterOS – offenbar keine der Standard-SSH-Implementierungen wie OpenSSH – die verwendeten Schlüssel nicht richtig prüft. So können Angreifer eigene Schlüssel erstellen, die ihnen Zugang gewähren (CVE-2026-67276, CVSS 9,2). Mit speziell präparierten Benutzernamen erhalten sie dann auch gleich einen Admin-Zugang (CVE-2026-86060, CVSS 9,2). Darüber hinaus beschreibt das CERT vier weitere Lücken, die ebenfalls bereits angegriffen werden.
Betroffen ist das Router-Betriebssystem RouterOS, das MikroTik in einer breiten Gerätepalette einsetzt – vom kleinen Prosumer-Router bis hin zu Hardware in Provider- und Unternehmensnetzen. Wie der Hersteller in einem knappen Advisory bestätigt, sind die Lücken in folgenden Versionen behoben:
Alle vorherigen Versionen sind prinzipiell anfällig, sofern die betroffenen Dienste – vor allem SSH, bandwidth-test und WebFig – erreichbar sind.
Admins sollten nach dem Update unbedingt prüfen, ob ihr Gerät bereits kompromittiert wurde. Dabei hilft ihnen eine eher ungewöhnliche, aber nützliche Zusatzfunktion der Updates: Sie suchen nach den bereits bekannten Indicators of Compromise und möglicherweise nicht autorisierten Veränderungen, die teils auch rückgängig gemacht werden. Finden sich Hinweise auf verdächtige Aktivitäten, gibt das System eine Warnung aus und setzt den Status „Flagged“. Typische Hinweise auf Angriffe sind etwa Log-Einträge wie
login failure for user -2 from via sshuser added by ssh:-2@
oder ein neu angelegter, hochprivilegierter Benutzer namens „ops“. Laut Analyse von CERT Polska gehen die bislang beobachteten erfolgreichen Angriffe mindestens seit dem 2. September auf die IP-Adresse 82.192.72.4 zurück; die IP 103.102.31.18 kam bei weiteren Ausnutzungsversuchen zum Einsatz. Wie das CERT anmerkt, ist der automatisierte Test hilfreich, kann aber eine gründliche Untersuchung eventuell betroffener Systeme nicht vollständig ersetzen, da sich der Modus Operandi der Angreifer jederzeit ändern kann.