„MikroTrick“-Exploit-Chain nimmt SSH-exponierte MikroTik-RouterOS-Geräte ins Visier
Laut CERT Polska wird MikroTik RouterOS seit mindestens dem 2. September 2026 aktiv angegriffen. Die Exploit-Chain nutzt CVE-2026-67276 (CVSS 9,2) und CVE-2026-86060 (CVSS 9,2) gegen Geräte, deren SSH-Dienst aus öffentlichen Netzwerken erreichbar ist. Eine erfolgreiche Kompromittierung verschafft die vollständige Kontrolle über das betroffene System. MikroTik hat für die Schwachstellen in den Versionen 7.25 beta 3, 7.24.2, 7.23.4 und 6.49.21 Fixes veröffentlicht. Im selben Release-Zyklus wurden außerdem CVE-2026-67277, CVE-2026-67278, CVE-2026-67279 und CVE-2026-67281 behoben, obwohl sie im Advisory des Herstellers nicht genannt wurden.
Zwei der sechs Schwachstellen, CVE-2026-67277 und CVE-2026-86060, wurden in die Known Exploited Vulnerabilities (KEV)-Liste von CISA aufgenommen [1][2]. Obwohl CERT Polska eine Ausnutzung von CVE-2026-67276 meldet, wurde diese CVE nicht in den KEV-Katalog von CISA aufgenommen. Eine technische Analyse des Patches ist ebenfalls online verfügbar [3]. Zahlreiche nationale CERT-Behörden haben Warnungen zu den aktuellen Schwachstellen in MikroTik RouterOS veröffentlicht [4][5][6][7][8][9][10][11][12][13][14]. Nutzende sollten umgehend auf eine gepatchte Version aktualisieren.
Diese Schwachstellen mit Greenbone erkennen
Der OPENVAS ENTERPRISE FEED deckt die CVEs der MikroTrick-Exploit-Chain sowie weitere CVEs vom September 2026 ab, die MikroTik RouterOS betreffen. Dafür kommt Remote-Banner-Erkennung zum Einsatz.
Der ENTERPRISE FEED bietet außerdem laufende Erkennung für Schwachstellen in RouterOS. Zu den aktuellen Bedrohungen zählen CVE-2026-14227 und CVE-2026-16347 [1] (für beide liegen CISA-ICS-Advisories vor [2][3]), CVE-2025-42611 [4] sowie CVE-2026-7668 [5].
Eine Risikobewertung der Angriffe auf MikroTik RouterOS
RouterOS ist MikroTiks Linux-basiertes Netzwerkbetriebssystem für Router, Switches und WLAN-Geräte. Die Plattform umfasst zudem integriertes Routing, eine Firewall, VPN, WLAN-Management, Netzwerküberwachung und weitere zentrale Netzwerkfunktionen. Die Exponierung administrativer RouterOS-Dienste ist besonders risikoreich, da eine Kompromittierung die Netzwerkebene eines gesamten Netzwerksegments oder einer gesamten Organisation beeinträchtigen könnte.
Der offengelegte Angriffspfad, als „MikroTrick“ bezeichnet, ermöglicht unautorisierten initialen Zugriff über den exponierten SSH-Dienst. Der Hersteller weist darauf hin, dass SSH nicht aus nicht vertrauenswürdigen Netzwerken erreichbar sein sollte. Zudem blockiert die Standardkonfiguration von RouterOS SSH-Zugriffe über die WAN-Schnittstelle. Ist der Dienst aktiviert und in einem lokalen Netzwerk erreichbar, könnte der anfällige SSH-Dienst zudem einem Angreifer mit Netzwerkzugriff, etwa einem Innentäter, eine seitliche Bewegung zu einem hochwertigen Ziel ermöglichen.
Es besteht eine Diskrepanz zwischen den Beobachtungen von CERT Polska und den CVEs, die in die KEV-Liste von CISA aufgenommen wurden. Fixes für alle bekannten Schwachstellen sind in den RouterOS-Versionen 7.25 beta 3, 7.24.2, 7.23.4 und 6.49.21 verfügbar. Die Verfügbarkeit einer öffentlichen technischen Analyse des RouterOS-Patches sowie eines öffentlichen Exploit-Toolkits (PoC) für CVE-2026-67276 erhöht das Risiko breiterer Angriffskampagnen. Das Vulnerability Lookup von CIRCL.lu deutet darauf hin, dass eine Diskussion über einen PoC für CVE-2026-86060 auf Telegram stattfindet [3]. Dies erhöht das Risiko, dass weitere Bedrohungsakteure die vollständige MikroTik-Exploit-Chain für eigene Angriffe nutzen.
Die technischen Details zu den MikroTik-RouterOS-Schwachstellen vom September 2026
Im Folgenden finden Sie eine kurze technische Beschreibung aller neuen CVEs, die MikroTik RouterOS betreffen:
Die MikroTrick-Exploit-Chain:
CVE-2026-67276 und CVE-2026-86060, die beiden im MikroTrick-Exploit verketteten Schwachstellen, jeweils mit CVSS-Schweregrad und EPSS-Ausnutzungswahrscheinlichkeit dargestellt
Eine SSH-Authentifizierungsumgehung in RouterOS ermöglicht die Anmeldung ohne den privaten Schlüssel eines Nutzers. Durch die Ausnutzung erhält ein Angreifer die Rechte des Zielkontos. Ursache ist eine unvollständige Prüfung des öffentlichen RSA-Schlüssels [CWE-347] im SSH-Dienst von RouterOS. Die Schwachstelle besteht, weil der Server den Schlüsseltyp und den Modulus, nicht jedoch den Exponenten prüft. CVE-2026-67276 gilt laut CERT Polska als aktiv ausgenutzt, und ein PoC-Exploit ist öffentlich verfügbar [1]. Der Fehler betrifft ausschließlich den 7.x-Branch und wurde in den Versionen 7.23.4 (Long-term) und 7.24.2 (Stable) behoben.
Eine Schwachstelle in der Verarbeitung von SSH-Anmeldeargumenten [CWE-88], bei der Benutzernamen, die mit einem verbotenen Zeichen beginnen, die trustworthy-policy-Maske verändern können, was zu einer Rechteausweitung und einer vollständigen administrativen Sitzung führt. CVE-2026-86060 wurde in die KEV-Liste von CISA aufgenommen. Das Vulnerability Lookup von CIRCL.lu deutet darauf hin, dass eine Diskussion über einen PoC auf Telegram stattfindet [3]. Der Fehler wurde in den Versionen 6.49.21 (Long-term), 7.23.4 (Long-term) und 7.24.2 (Stable) behoben.
Ebenfalls in die KEV-Liste von CISA aufgenommen:
CVE-2026-67277, ebenfalls in den Known Exploited Vulnerabilities-Katalog von CISA aufgenommen, dargestellt mit CVSS-Schweregrad und EPSS-Ausnutzungswahrscheinlichkeit
Eine Schwachstelle im Bandwidth-Test-Dienst erlaubt es einem nicht authentifizierten Client, einen Zustand nach erfolgter Authentifizierung zu erreichen und Bedingungen für die Offenlegung von Paketpuffern sowie einen Integer-Underflow auszunutzen. Die Ausnutzung ermöglicht es einem Angreifer, sensiblen Kernel-Speicher auszulesen oder das Gerät neu zu starten. Die Ursache wird als fehlende Authentifizierung für eine kritische Funktion [CWE-306] eingestuft. CVE-2026-67277 wurde in die KEV-Liste von CISA aufgenommen. Der Fehler wurde in den Versionen 6.49.21 (Long-term), 7.23.4 (Long-term) und 7.24.2 (Stable) behoben.
Weitere im September 2026 veröffentlichte RouterOS-Schwachstellen:
CVE-2026-67278, CVE-2026-67279 und CVE-2026-67281, die weiteren im September 2026 behobenen MikroTik-RouterOS-Schwachstellen, jeweils mit CVSS-Schweregrad und EPSS-Ausnutzungswahrscheinlichkeit dargestellt
Eine X.509-Validierungsschwachstelle [CWE-347] in der TLS-Verarbeitung. Fehlerhaft formatierte RSA/PKCS#1-v1.5-Signaturen ermöglichen es einem Angreifer, der ausgehende TLS-Verbindungen kontrolliert oder umleiten kann, ein vertrauenswürdiges Zwischenzertifikat zu fälschen und beliebige Hostnamen zu imitieren. Der Fehler betrifft ausschließlich den 7.x-Branch und wurde in den Versionen 7.23.4 (Long-term) und 7.24.2 (Stable) behoben.
Eine vom Client angeforderte SSH-rekey-Operation kann die Verbindung in den session– und exec-Pfad überführen, obwohl nie eine Authentifizierung versucht wurde. Die Ausnutzung ermöglicht es einem nicht authentifizierten Angreifer, im von RouterOS verwalteten Datei-Namensraum Dateien zu erstellen, zu überschreiben und wiederherzustellen. Der Fehler wurde in den Versionen 6.49.21 (Long-term), 7.23.4 (Long-term) und 7.24.2 (Stable) behoben.
Ein Datei-Leseproblem im WebFig-Pfad /jsproxy ermöglicht es einem nicht authentifizierten Angreifer, root-eigene Dateien zu lesen, einschließlich Konfigurationsspeichern mit Zugangsdaten. Ursache ist ein veralteter, nicht initialisierter Principal-Zeiger [CWE-824] in Kombination mit einer Path-Traversal über das übergeordnete Verzeichnis [CWE-22]. Der Fehler betrifft ausschließlich den 7.x-Branch und wurde in den Versionen 7.23.4 (Long-term) und 7.24.2 (Stable) behoben.
Die MikroTrick-Angriffskampagne verstehen
Laut CERT Polska ermöglicht die MikroTrick-Exploit-Chain einem Angreifer, über den SSH-Dienst die vollständige Kontrolle über betroffene Geräte zu übernehmen. Der MikroTrick-Angriff kombiniert CVE-2026-67276 und CVE-2026-86060.
Zunächst wird CVE-2026-67276 genutzt, um die SSH-Authentifizierung durch Ausnutzung der unvollständigen Prüfung des öffentlichen RSA-Schlüssels zu umgehen. Dies ermöglicht einen nicht authentifizierten Zugriff ohne den privaten Schlüssel des Zielbenutzers. In der zweiten Phase wird CVE-2026-86060 genutzt, um die Verarbeitung der SSH-Anmeldeargumente so zu manipulieren, dass ein präparierter Benutzername die trustworthy-policy-Maske verändert und Root-Rechte erlangt. Das Ergebnis ist eine Eskalation von unautorisiertem SSH-Zugriff zu einer vollständigen administrativen RouterOS-Sitzung. Nach Erlangung des vollständigen administrativen Zugriffs legten Angreifer ein betrügerisches lokales Konto mit dem Namen ops mit weitreichenden Rechten an. In den betroffenen Systemprotokollen wurden Einträge wie folgt aufgezeichnet: user ops added by ssh:-2@<attacker-ip>.
CERT Polska hat keine weiteren Angreifertechniken öffentlich bestätigt, listet jedoch mehrere beobachtete Angreifer-IP-Adressen auf. Sicherheitsverantwortliche sollten beachten, dass das Fehlen bekannter Indikatoren eine Kompromittierung des Geräts nicht ausschließt.
Gegenmaßnahmen für die neuen CVEs in MikroTik RouterOS
Patches für alle oben genannten CVEs sind verfügbar in den RouterOS-Versionen 7.25 beta 3, 7.24.2, 7.23.4 und 6.49.21. Für Organisationen, die SSH für die Fernadministration exponieren, sollte die Behebung dort höchste Priorität haben, wo der Dienst aus öffentlichen oder anderweitig nicht vertrauenswürdigen Netzwerken erreichbar ist. Der OPENVAS ENTERPRISE FEED bietet Remote-Banner-Erkennung für die CVEs der MikroTrick-Exploit-Chain sowie weitere neue CVEs, die MikroTik RouterOS betreffen.
Für Organisationen, die die Patches nicht sofort einspielen können, sollte der öffentliche SSH-Zugriff deaktiviert werden. MikroTik warnt zudem davor, SSH gegenüber nicht vertrauenswürdigen Netzwerken offen zu lassen, und weist darauf hin, dass die Standardkonfiguration den Dienst aus dem Internet blockiert. Über das Patchen hinaus sollten Sicherheitsverantwortliche Geräte auf allgemeine Kompromittierungsindikatoren prüfen.
Zusammenfassung
MikroTrick ist eine neu offengelegte Exploit-Chain, die CVE-2026-67276 mit CVE-2026-86060 kombiniert, um vollständige, nicht authentifizierte Root-Kontrolle über RouterOS-Geräte zu erlangen. Die Angriffe nutzen den exponierten SSH-Dienst anfälliger Geräte. CERT Polska geht davon aus, dass die Angriffe seit mindestens dem 2. September 2026 aktiv sind. CISA hat CVE-2026-86060 sowie eine separate Schwachstelle, CVE-2026-67277, in die KEV-Liste aufgenommen. Zusätzliches Risiko entsteht durch öffentlich verfügbaren PoC-Exploit-Code und eine detaillierte Patch-Analyse.
Diese Schwachstellen mit Greenbone erkennen
Der OPENVAS ENTERPRISE FEED deckt die CVEs der MikroTrick-Exploit-Chain sowie weitere neue CVEs ab, die MikroTik RouterOS betreffen. Dafür kommt Remote-Banner-Erkennung zum Einsatz. Dazu zählt die jüngste Gruppe: CVE-2026-67276, CVE-2026-67277, CVE-2026-67278, CVE-2026-67279, CVE-2026-67281 und CVE-2026-86060. Der Hersteller hat Fixes für die betroffenen RouterOS-Zweige veröffentlicht und rät Administrierenden zudem, SSH nicht gegenüber nicht vertrauenswürdigen Netzwerken zu exponieren.
Josephs Karriere im Bereich IT und Cybersicherheit ist von Vielfalt und Leidenschaft geprägt. Sie begann in den späten 1980er Jahren mit der Arbeit an einem IBM PS/2, der Montage von PCs und der Programmierung in C++.
Er studierte Computer- und Systemtechnik, Anthropologie und erwarb einen MBA mit Schwerpunkt Technologieprognose.
Josephs Fachgebiete umfassen Datenanalyse, Softwareentwicklung und insbesondere IT-Sicherheit in Unternehmen. Er ist Experte für Schwachstellenmanagement, Verschlüsselung und Penetrationstests.
