MikroTik-Router mit SSH im Netz – ist Ihrer schon gehackt?

Wenn Sie oder Ihr Betrieb einen MikroTik-Router einsetzen und dessen SSH-Zugang aus dem Internet erreichbar ist: Gehen Sie im Moment davon aus, dass das Gerät bereits kompromittiert sein könnte. Sicherheitsforscher von CERT Polska haben sechs Lücken in RouterOS gefunden, die gerade aktiv ausgenutzt werden – Updates gibt es zwar, ersetzen aber keine gründliche Kontrolle.

Was macht diese Lücke so gefährlich

Zwei der sechs Schwachstellen lassen sich zu einer Kette verbinden, die die Forscher „MikroTrick“ nennen. Der SSH-Server von RouterOS – eine Eigenentwicklung, keine Standardlösung wie OpenSSH – prüft eingehende Schlüssel nicht richtig. Angreifer können so eigene Schlüssel einschleusen (CVE-2026-67276, CVSS 9,2) und sich über präparierte Benutzernamen gleich Admin-Rechte verschaffen (CVE-2026-86060, CVSS 9,2). Das Ergebnis: volle Kontrolle über den Router, ganz ohne gültiges Passwort. Vier weitere Lücken werden laut CERT Polska ebenfalls schon angegriffen.

Betroffen sind nicht nur Privatrouter, sondern die gesamte MikroTik-Palette bis hinein in Provider- und Firmennetze. Anfällig sind alle Geräte, bei denen SSH, der Bandwidth-Test oder WebFig aus dem Internet erreichbar sind.

Welche Version Sie brauchen

Zweig	Fehlerfreie Version
Beta	7.25 beta 3
Stable	7.24.2
Long-term	7.23.4
Legacy (6er)	6.49.21

Alles davor gilt als verwundbar, sofern die genannten Dienste offen sind.

Was jetzt zu tun ist

1. Update einspielen – auf eine der oben genannten Versionen.
2. SSH aus dem Internet sperren, wenn es nicht zwingend gebraucht wird. Fernzugriff besser über VPN statt offenem SSH-Port.
3. Kompromittierung prüfen – die neuen Updates bringen eine Zusatzfunktion, die gezielt nach bekannten Indicators of Compromise sucht und manche unautorisierten Änderungen sogar automatisch zurücknimmt. Zeigt das System den Status „Flagged“, ist Handlungsbedarf da.
4. Logs durchsehen auf Einträge wie login failure for user -2 from <ip> via ssh oder user <name> added by ssh:-2@<ip>, sowie auf einen unbekannten, hochprivilegierten Nutzer namens „ops“.
5. Angreifer-IPs im Blick behalten: CERT Polska beobachtet erfolgreiche Angriffe seit mindestens dem 2. September 2026 von der IP 82.192.72.4, weitere Ausnutzungsversuche kamen von 103.102.31.18.

Der automatische Scan ist ein guter Startpunkt, ersetzt laut CERT Polska aber keine gründliche manuelle Prüfung – die Angreifer können ihre Methode jederzeit ändern.

Meine Einschätzung

Guter Tipp von CERT Polska, dass die Updates gleich eine Prüffunktion für bekannte Kompromittierungs-Spuren mitbringen – das ist ungewöhnlich, aber genau das, was viele Admins in so einer Lage brauchen: nicht nur patchen, sondern auch nachschauen, ob es schon zu spät war. Wer einen MikroTik-Router betreibt und sich nicht sicher ist, ob SSH offen im Internet hängt, sollte das jetzt als Erstes klären. Ein offener SSH-Port ohne echten Grund ist ohnehin fast immer ein Fehler in der Konfiguration – diese Lücke macht daraus gerade ein akutes Risiko. Wer die Logs nach dem Update nicht selbst lesen kann oder will, sollte sich das zumindest von jemandem ansehen lassen, der sich mit sowas auskennt. Ein kompromittierter Router im Heim- oder Firmennetz ist kein Bagatellschaden – von dort aus lässt sich der ganze restliche Datenverkehr mitlesen oder umleiten.

Quelle der Meldung: heise online · auch berichtet von heise online und Golem