MikroTiks „MikroTrick“-Router-Bugs: zwei stehen auf der KEV-Liste, einer nicht

MikroTik hat am 3. September 2026 Patches für drei RouterOS-Schwachstellen veröffentlicht, nachdem es Hinweise darauf gab, dass Angreifer bereits einen Tag zuvor mit deren Ausnutzung begonnen hatten. Zwei der drei – CVE-2026-86060 und CVE-2026-67277 – stehen in CISAs Known Exploited Vulnerabilities-Katalog, aufgenommen am 10. September mit einer Behebungsfrist zum 13. September, die inzwischen verstrichen ist. Die dritte, CVE-2026-67276, ist der Einstiegspunkt für die Angriffskette, die Forscher MikroTrick nennen, wurde aber zum Zeitpunkt dieses Artikels selbst noch nicht in den KEV-Katalog aufgenommen, obwohl sowohl das Canadian Centre for Cyber Security als auch CERT Polska sie als aktiv ausgenutzt einstufen.

So funktioniert die MikroTrick-Kette

CVE-2026-67276 (CVSS 9.2) ist eine SSH-Authentifizierungsumgehung: Eine unvollständige Validierung von RSA-Public-Keys ermöglicht es einem Angreifer, der einen Benutzernamen und den öffentlichen Modulus des Schlüssels dieses Benutzers kennt, einen anderen Schlüssel zu fälschen und sich ohne den echten privaten Schlüssel anzumelden. CERT Polska nannte die zweistufige Kette „MikroTrick“, weil diese Umgehung zusammen mit CVE-2026-86060 (CVSS 9.2), einer Privilege-Escalation-Schwachstelle, die durch einen speziell gestalteten SSH-Benutzernamen ausgelöst wird, dem Angreifer vollständige administrative Kontrolle verschafft. Die dritte Schwachstelle, CVE-2026-67277 (CVSS 8.8), ist ein separater, nicht authentifizierter Fehler im Bandbreitentest-Dienst von RouterOS, der Kernel-Speicher auslesen oder das Gerät zum Absturz bringen kann – ein Denial-of-Service-Risiko statt eines Wegs zu Admin-Zugriff, aber ohne Anmeldedaten erreichbar.

Ausmaß

Die Shadowserver Foundation zählte in einem einzigen Scan Anfang September mehr als 122.500 internetseitig erreichbare RouterOS-SSH-Instanzen – eine große Population von Geräten, die absichtlich erreichbar sind, da RouterOS bei ISPs und kleinen Unternehmen als Edge- und Gateway-Ausrüstung verbreitet ist.

Was zu tun ist

• Auf RouterOS 7.25beta3, 7.24.2 (Stable), 7.23.4 oder neuer im Long-Term-Zweig oder 6.49.21 im Legacy-Long-Term-Zweig patchen – MikroTik hat später 7.23.5 nachgeliefert, nachdem in 7.23.4 eine IPv6-DHCP-Regression auftrat; daher sollte im jeweiligen Zweig der neueste Wartungs-Build verwendet werden, statt bei 7.23.4 stehen zu bleiben.
• SSH unabhängig vom Patch-Status von nicht vertrauenswürdigen Netzwerken fernhalten.
• Nach dem Upgrade die „Flagged“-Statusanzeige von RouterOS sowie die Protokolle auf unbekannte Benutzer, Skripte oder Konfigurationsänderungen prüfen.
• Jedes Gerät, das vor dem Patchen aus dem Internet erreichbar war, als Kandidat für die Beweissicherung behandeln, bevor es isoliert oder auf Werkseinstellungen zurückgesetzt wird.

Quellen: MikroTik September 2026 security bulletin, Canadian Centre for Cyber Security AL26-020.