Das polnische nationale Computer-Notfallteam, CERT Polska, hat bestätigt, dass zwei kritische Schwachstellen im RouterOS-Betriebssystem von MikroTik in der Praxis aktiv ausgenutzt werden, mit dokumentierten Kompromittierungen, die bis mindestens zum 2. September 2026 zurückreichen. Die als CVE-2026-67276 und CVE-2026-86060 nachverfolgten Lücken bilden eine Angriffskette, die Forscher MikroTrick genannt haben und die es nicht authentifizierten Angreifern ermöglicht, die volle administrative Kontrolle über jeden Router zu übernehmen, dessen SSH-Verwaltungsschnittstelle aus dem öffentlichen Internet erreichbar ist.

Wie die MikroTrick-Angriffskette funktioniert

Die erste Schwachstelle, CVE-2026-67276, befindet sich in der Schlüsselüberprüfungslogik des RouterOS-SSH-Servers. Da der Server vorgelegte Schlüssel nicht ordnungsgemäß validiert, kann ein Angreifer ein Schlüsselpaar generieren, das das Gerät als legitim akzeptiert, was einen initialen Zugriff ohne Passwort oder Zugangsdaten gewährt. Die zweite Lücke, CVE-2026-86060, wird durch speziell gestaltete Benutzernamen ausgelöst, die diesen anfänglichen Fußpunkt direkt zu administrativen Privilegien eskalieren lassen. Beide Schwachstellen weisen den maximalen CVSS-Basis-Score von 9,2 auf, was ihre leichte Ausnutzbarkeit und die von ihnen ermöglichte vollständige Kompromittierung widerspiegelt.

Die Warnung von CERT Polska stellt fest, dass die sechs Schwachstellen, die durch den koordinierten Prozess offengelegt wurden, nur entdeckt wurden, weil das Team aktiven Angriffsverkehr gegen RouterOS-Geräte beobachtete. Mit anderen Worten: Die Ausnutzung ging der Entdeckung voraus, eine Erinnerung daran, dass Bedrohungsakteure oft den Zeitplänen für koordinierte Offenlegungen voraus sind, insbesondere wenn Verwaltungsschnittstellen exponiert bleiben.

Angriffszeitlinie und Infrastruktur

Forensische Analysen von CERT Polska verknüpfen die frühesten bestätigten erfolgreichen Einbrüche mit der IP-Adresse 82.192.72.4, wobei Aktivitäten ab dem 2. September beobachtet wurden. Eine zweite Adresse, 103.102.31.18, taucht bei nachfolgenden Ausnutzungsversuchen auf. Das polnische CERT hat die Aktivität keinem spezifischen Bedrohungsakteur oder keiner Kampagne zugeordnet, und der geografische Ursprung der Infrastruktur bleibt unklar; beide Adressen könnten kompromittierte Hosts, Proxy-Schichten oder dedizierte Angriffsserver sein.

Die Zielwahl ist opportunistisch anstatt selektiv: Jedes RouterOS-Gerät mit offenem SSH-Zugang zum Internet ist gefährdet. MikroTik-Hardware wird in ganz Europa in Kleinbüros, Home-Offices und von ISPs verwalteten Kundenvorwahlgeräten weit verbreitet eingesetzt, was bedeutet, dass die potenzielle Angriffsfläche Tausende von Netzwerken in Deutschland, Polen, den baltischen Staaten und darüber hinaus umfasst.

Auswirkungen auf europäische Netzwerkbetreiber

Der Vorfall unterstreicht eine anhaltende operative Schwachstelle: Verwaltungsprotokolle wie SSH, Telnet, HTTP und Winbox werden routinemäßig auf Peripheriegeräten exponiert gelassen, trotz jahrelanger Ratschläge, sie auf dedizierte Management-VLANs oder reinen VPN-Zugang zu beschränken. Nach der NIS2-Richtlinie der EU, die 2024 in Kraft trat und für eine breite Palette wesentlicher und wichtiger Einrichtungen einschließlich digitaler Infrastrukturanbieter gilt, haben Betreiber solcher Ausrüstung die rechtliche Verpflichtung, Schwachstellen umgehend zu verwalten und erhebliche Vorfälle zu melden. Das Versäumnis, bekannte, aktiv ausgenutzte Lücken auf internet-exponierten Systemen zu patchen, könnte einen Verstoß darstellen.

Insbesondere deutsche Betreiber sollten dies zur Kenntnis nehmen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät seit Langem davon ab, Router-Verwaltungsschnittstellen zu exponieren, und das Grundschutz-Kompendium der Behörde empfiehlt ausdrücklich, SSH auf WAN-Schnittstellen zu deaktivieren oder auf bekannte administrative IP-Bereiche zu beschränken. Die MikroTrick-Kampagne liefert eine konkrete, Echtzeit-Veranschaulichung, warum diese Leitlinien existieren.

Abhilfemaßnahmen und offene Fragen

MikroTik hat RouterOS-Updates veröffentlicht, die alle sechs von CERT Polska offengelegten Schwachstellen beheben. Administratoren sollten die Patches umgehend anwenden, aber das Patchen allein ist für Geräte, die möglicherweise bereits kompromittiert wurden, unzureichend. Da die Angriffskette volle administrative Kontrolle gewährt, könnte ein Angreifer hartnäckige Hintertüren installiert, Firmware modifiziert oder Zugangsdaten für die laterale Bewegung gesammelt haben. CERT Polska rät, jedes Gerät, dessen SSH während des Expositionszeitraums dem Internet ausgesetzt war, als potenziell kompromittiert zu behandeln: isolieren, aus einer bekannten integren Sicherung neu aufsetzen, alle Zugangsdaten wechseln und Protokolle auf anomale administrative Sitzungen überprüfen.

Mehrere Fragen bleiben unbeantwortet. Das volle Ausmaß erfolgreicher Kompromittierungen ist unbekannt; CERT Polska hat nur die beiden Quell-IPs bestätigt, die in seiner Telemetrie beobachtet wurden. Es ist unklar, ob die Schwachstellen vor dem 2. September als Zero-Days ausgenutzt wurden oder ob die Angreifer Patches oder Offenlegungsentwürfe reverse-engineert haben. Die Identität und Motivation des Bedrohungsakteurs, ob kriminell, staatlich gebunden oder opportunistisch, wurde nicht festgestellt. Schließlich deuten die sechs offengelegten Schwachstellen auf eine breitere Angriffsfläche in der RouterOS-SSH-Verarbeitung hin, die weitere Lücken zutage fördern könnte.

Ein wiederkehrendes Muster in der Netzwerkgerätesicherheit

Es ist nicht das erste Mal, dass MikroTik-Geräte in groß angelegten Kompromittierungskampagnen eine Rolle spielen. 2018 infizierte die VPNFilter-Malware Hunderttausende von Routern und NAS-Geräten, viele davon MikroTik-Geräte, unter Ausnutzung bekannter Schwachstellen und Standardzugangsdaten. 2023 nutzte das Meris-Botnet eine RouterOS-Schwachstelle (CVE-2018-14847), um eine massive DDoS-Infrastruktur aufzubauen. Jede Welle bestätigt dieselbe Lektion: Netzwerk-Infrastrukturgeräte sind hochwertige Ziele, die oft mit weniger Sorgfalt verwaltet werden als Server oder Endgeräte, und ihre Kompromittierung bietet einen hartnäckigen, schwer zu erkennenden Fußpunkt in den Netzwerken der Opfer.

Organisationen

CERT Polska · MikroTik