MikroTrick: Kritische Angriffskette bedroht MikroTik RouterOS – Sofort patchen!

Für Administratoren von MikroTik-Netzwerkhardware herrscht höchste Alarmstufe. Wie das polnische CSIRT (CERT Polska) berichtet, nutzen Angreifer seit Anfang September 2026 eine Kette von neu entdeckten Sicherheitslücken aktiv aus, um MikroTik-Router im großen Stil zu kapern. Unter der Bezeichnung MikroTrick kombinieren Kriminelle mehrere Schwachstellen in der RouterOS-Firmware, um unauthentifiziert die vollständige administrative Kontrolle über betroffene Systeme zu erlangen.

Nach Einschätzung von IT-Sicherheitsdiensten sind weltweit über 100.000 über das Internet erreichbare Router potenziell von der Welle bedroht.

Funktionsweise der „MikroTrick“-Attacke

Das Forscherteam von CERT Polska hat insgesamt sechs Schwachstellen in der Zertifikats- und Diensteverarbeitung von RouterOS identifiziert. Der gefährlichste Angriffsvektor kombiniert zwei spezifische Fehler im SSH-Server und -Client von RouterOS:

1. Authentication Bypass: Eine Lücke erlaubt es Angreifern, die reguläre Anmeldung am SSH-Dienst zu umgehen.

2. Privilege Escalation: Eine verknüpfte zweite Schwachstelle verschafft dem Angreifer umgehend uneingeschränkte Administratorrechte (CVSS-Score: 9.2).

Nicht nur SSH-Dienste sind anfällig

Obwohl die aktiven Angriffe primär über exponierte SSH-Ports ablaufen, beschränkt sich das Risiko keineswegs nur auf die Konsole. Das Lücken-Set betrifft auch weitere Systemkomponenten von RouterOS:

• Das Web-Management WebFig

• Den internen Bandbreitentest-Dienst

• Die Verarbeitung von X.509-TLS-Zertifikaten

Selbst wenn SSH extern geschlossen ist, sollten RouterOS-Instanzen daher dringend aktualisiert werden, da auch ausgehende TLS-Verbindungen oder interne Verwaltungsdienste ausnutzbar sind.

Welche Versionen sichern das System ab?

MikroTik hat umgehend reagiert und geflickte Releases für die jeweiligen Update-Kanäle veröffentlicht. Betreiber sollten ihre Geräte unverzüglich auf folgende oder neuere Firmware-Stände heben:

• v7 Stable Branch: Aktualisierung auf 7.16 (oder höher)

• v7 Long-Term Branch: Aktualisierung auf 7.15.3 (beachte: falls Version 7.23.4 / 7.23.5 im Einsatz ist, ebenfalls aktualisieren)

• v6 Long-Term / Legacy: Aktualisierung auf 6.49.15

• Development / Testing: Aktualisierung auf 7.25beta3

Empfohlener Incident-Response-Plan für Admins

1. Sofortiges Firmware-Update

Spielt die gepatchte RouterOS-Version über den Mikrotik-Update-Mechanismus, WinBox oder WebFig ein.

2. Verwaltungszugänge vom WAN trennen

Verwaltungsdienste wie SSH, WinBox und WebFig gehören grundsätzlich niemals ungeschützt an das öffentliche Internet.

• Schränkt den Zugriff über IP-Firewall-Regeln strikt auf interne Management-VLANs ein.

• Nutzt für den Fernzugriff ausschließlich verschlüsselte VPN-Tunnel (z. B. WireGuard).

3. Prüfen auf Kompromittierung (IoCs)

Da Angreifer Hintertüren im System verankern können, reicht ein reines Update bei bereits infizierten Geräten oft nicht aus.

• Kontrolliert die Scheduler-Tasks, Scripts und angelegten Admin-Nutzer auf unautorisierte Einträge.

• Bei konkretem Verdacht: Trennt das Gerät vom Netz, sichert Logs und Konfigurationen, führt einen vollständigen Netinstall / Factory Reset durch und spielt eine saubere Konfiguration neu ein.

Fazit

„MikroTrick“ zeigt erneut, wie verheerend die Kombination aus schwachen Schnittstellen-Konfigurationen und ungepatchter Edge-Hardware ist. Wer MikroTik-Geräte im Einsatz hat, muss jetzt handeln, um seine Netzwerkgrenzen wirksam abzusichern.

Quelle & Weiterführende Berichterstattung: https://cert.pl/en/posts/2026/09/vulnerabilities-in-mikrotik-routeros-actively-exploited/