Eine Angriffswelle richtet sich derzeit gegen MikroTik-Routerdessen SSH-Dienst im Internet verfügbar ist. CERT Polska (Polen) hat eine Kombination kritischer Schwachstellen namens MikroTrick identifiziertwas aktiv ausgenutzt wird.

“ Wir haben die Bestätigung erhalten, dass Angreifer diese Kombination von Schwachstellen ausnutzen, um die vollständige Kontrolle über Geräte zu erlangen, deren SSH-Dienst über öffentliche Netzwerke zugänglich ist. „

Wie funktioniert der MikroTrick-Angriff?

Der Angriff beruht auf einer Kette von Schwachstellen Dadurch kann die Sicherheit umgangen werden, ohne dass gültige Kennungen vorliegen.

Der erste Fehler (CVE-2026-67276) ist eine Umgehung der SSH-Authentifizierung, die durch eine unvollständige Validierung öffentlicher RSA-Schlüssel verursacht wird. Ein Angreifer, der lediglich einen Benutzernamen und das öffentliche Modul seines Schlüssels kennt, kann sich ohne den legitimen privaten Schlüssel anmelden.

Sobald dieser erste Schritt abgeschlossen ist, kommt der zweite Fehler (CVE-2026-86060) ins Spiel. Hierbei handelt es sich um eine Privilegienausweitung, die es dem Angreifer über einen speziell gestalteten Benutzernamen ermöglicht, die SSH-Sitzung zu manipulieren, um vollständige Administratorrechte auf dem Router zu erhalten.

Diese beiden Schwachstellen wurden einer kritischen Gefährlichkeitsbewertung unterzogen. Ein dritter hervorgehobener Fehler (CVE-2026-67277) betrifft den Dienst Bandbreitentest von RouterOS. Es ermöglicht nicht authentifizierten Angreifern, einen Kernel-Speicherverlust zu verursachen oder das System neu zu starten.

Was sind die Anzeichen für einen Kompromiss?

CERT Polska weist mehrere Anzeichen einer Kompromittierung auf um Administratoren dabei zu helfen, einen Einbruch zu erkennen.

Dazu gehören bestimmte Einträge in RouterOS-Protokollen, z Anmeldefehler für Benutzer -2 von über sshsowie das Vorhandensein eines neu erstellten „Ops“-Kontos mit erhöhten Berechtigungen.

IP-Adressen (82.192.72.4 und 103.102.31.18) wurden direkt mit erfolgreichen Angriffen oder Ausnutzungsversuchen in Verbindung gebracht.

Nach Angaben der ShadowServer Foundation verfügen mindestens 122.500 MikroTik-Geräte über eine im Internet offengelegte SSH-Schnittstelle, obwohl nicht alle unbedingt anfällig sind.

Von MikroTik vorgeschlagene Korrekturen

MikroTik reagierte mit der Veröffentlichung von Sicherheitsupdates für RouterOS in den Versionen 7.25beta3, 7.24.2, 7.23.4 und 6.49.21. Zu diesen Korrekturen gehört ein Kompromittierungserkennungsmechanismus, der beim Start nach Anzeichen nicht autorisierter Änderungen sucht.

Trotz dieses Erkennungsmechanismus können Zweifel bestehen bleiben und dann ist ein vollständiger Werksreset und anschließend eine Erneuerung der Passwörter und Schlüssel erforderlich. CERT Polska gibt je nach Situation weitere Ratschläge.