Aktive Ausnutzung von MikroTik-Routern bestätigt

Sicherheitsforscher haben die aktive Ausnutzung einer kritischen Schwachstellenkette in freier Wildbahn bestätigt, die MikroTik-Router mit RouterOS betrifft. Der als MikroTrick bezeichnete Angriff kombiniert zwei Schwachstellen: CVE-2026-67276, einen SSH-Authentifizierungs-Bypass, und CVE-2026-86060, einen Privilegieneskalationsfehler, der es Angreifern ermöglicht, eine SSH-Sitzung auf volle administrative Kontrolle auszuweiten. Zusammen ermöglichen die beiden Schwachstellen einem Angreifer den vollständigen Zugriff auf einen verwundbaren Router, ohne dass gültige Anmeldedaten erforderlich sind.

Dies ist kein theoretisches Risiko. Berichten zufolge wird die Schwachstelle seit Anfang September aktiv ausgenutzt, und Forscher haben mehr als 122.500 MikroTik-Geräte identifiziert, die ihren SSH-Verwaltungsport direkt dem Internet aussetzen, was sie zu erreichbaren Zielen für automatisierte Scan- und Angriffswerkzeuge macht. Einmal kompromittiert, können Router ein verräterisches Zeichen aufweisen: ein nicht autorisiertes Konto „SSH-Benutzer 2", das von Angreifern hinzugefügt wurde – ein unauffälliger, aber sichtbarer Fingerabdruck des Eindringens.

So funktioniert die MikroTrick-Angriffskette

Router sind gerade deshalb attraktive Ziele, weil sie am Rand eines Netzwerks sitzen und jeden Paketverkehr weiterleiten, der in ein Heim oder Unternehmen hinein- und hinausfließt. Ein kompromittierter Router legt nicht nur das Gerät selbst offen; er kann einem Angreifer einen Ausgangspunkt bieten, um Datenverkehr abzufangen, DNS-Abfragen umzuleiten, in interne Netzwerke vorzudringen oder das Gerät in ein Botnetz für größere Angriffe wie Distributed-Denial-of-Service-Kampagnen einzugliedern.

Die MikroTrick-Kette ist besonders besorgniserregend, weil sie SSH ins Visier nimmt – ein Protokoll, auf das Administratoren sich gerade deshalb verlassen, weil es als sicher gelten soll. Durch die vollständige Umgehung der Authentifizierung und die anschließende Privilegieneskalation innerhalb der Sitzung umgehen Angreifer die übliche Hürde des Erratens von Passwörtern oder der Ausnutzung schwacher Anmeldedaten. Jedes RouterOS-Gerät mit öffentlich exponiertem SSH und einer ungepatchten Version ist ein potenzielles Ziel.

MikroTik hat Fixes für die Schwachstellen veröffentlicht, wobei gepatchte Versionen für RouterOS 7.24.2, 7.23.5 und 6.49.21 verfügbar sind. Administratoren, die ältere oder ungepatchte Builds ausführen, bleiben exponiert, bis sie aktualisieren.

Warum das für den Datenschutz wichtig ist – nicht nur für die Netzwerksicherheit

Es ist leicht, Router-Schwachstellen als IT-Problem für Netzwerkadministratoren zu betrachten, aber die Auswirkungen auf die Privatsphäre reichen viel weiter. Ein Router ist der zentrale Punkt, durch den der gesamte Internetverkehr eines Haushalts oder Unternehmens fließt. Wenn er kompromittiert ist, kann ein Angreifer möglicherweise unverschlüsselten Datenverkehr beobachten, DNS manipulieren, um Benutzer auf bösartige Websites umzuleiten, oder das Gerät als Startrampe für Überwachung und weitere Eindringversuche in verbundene Geräte wie Laptops, Smart-Home-Geräte und Überwachungskameras nutzen.

Diese Art von Kompromittierung auf Infrastrukturebene spiegelt ein breiteres Muster wider, das in der Bedrohungslandschaft zu beobachten ist, bei dem Angreifer zunehmend die Werkzeuge ins Visier nehmen, denen Menschen vertrauen, um sich zu schützen. So wie staatlich geförderte Akteure Zero-Day-Schwachstellen in weit verbreiteter Software ausgenutzt haben, um bestimmte Gruppen anzugreifen, nutzen opportunistische und finanziell motivierte Angreifer Router-Level-Zero-Days in großem Maßstab aus und gehen auf jedes exponierte Gerät zu, statt auf ein einzelnes Ziel. Die MikroTrick-Kampagne scheint in diese letztere Kategorie zu fallen: breite, automatisierte Ausnutzung jedes internetfähigen Geräts, das verwundbar bleibt.

Was das für Sie bedeutet

Wenn Sie oder Ihre Organisation MikroTik-Router verwenden, ist der erste Schritt zu prüfen, ob das SSH-Management dem öffentlichen Internet ausgesetzt ist. Für die meisten Heim- und kleinen Geschäftsumgebungen gibt es selten einen guten Grund, SSH überhaupt für das weitere Internet offen zu lassen; es sollte auf vertrauenswürdige interne Netzwerke beschränkt oder nur über einen VPN-Tunnel zugänglich sein.

Prüfen Sie als Nächstes Ihre RouterOS-Version. Wenn Sie nicht 7.24.2, 7.23.5, 6.49.21 oder neuer ausführen, sollte das Update als dringend behandelt werden, nicht als optional. Da die Ausnutzung bereits im Gange ist, werden ungepatchte Geräte derzeit aktiv angegriffen – nicht nur theoretisch gefährdet.

Prüfen Sie Ihr Gerät schließlich auf Anzeichen einer Kompromittierung, insbesondere auf unbekannte Benutzerkonten wie ein unerwartetes Login „SSH-Benutzer 2", das Forscher als Indikator für genau diese Angriffskette markiert haben. Wenn Sie Hinweise auf unbefugten Zugriff finden, ist ein Werksreset in Kombination mit einer frischen, gepatchten Installation der sicherste Weg, zusammen mit dem Rotieren aller Anmeldedaten, die möglicherweise exponiert waren.

Umsetzbare Empfehlungen

MikroTik-Routerbesitzer sollten dies als Aufruf zum Handeln betrachten und nicht als ferne Bedrohung. Aktualisieren Sie RouterOS sofort auf eine gepatchte Version, deaktivieren oder beschränken Sie den SSH-Zugriff aus dem öffentlichen Internet und überprüfen Sie Geräteprotokolle und Benutzerkonten auf Anzeichen von Manipulation. Netzwerkadministratoren, die Flotten von MikroTik-Geräten verwalten, sollten der Prüfung internetfähiger Verwaltungsschnittstellen in ihrer gesamten Bereitstellung Priorität einräumen, da ein einzelner exponierter Router die Sicherheit eines ansonsten gut geschützten Netzwerks untergraben kann. Aktuell zu bleiben mit Patches und die unnötige Internet-Exposition zu minimieren, bleiben die effektivsten Verteidigungen gegen diese und zukünftige Router-fokussierte Ausbeutungskampagnen.