MikroTrick-Kette öffnet MikroTik-Router, die ungesichert im Internet sind, warnt CERT Polska

CERT Polska veröffentlichte am 6. September sechs Sicherheitsanfälligkeiten im MikroTik RouterOS, die die Agentur von externen Forschern erhalten und in Zusammenarbeit mit dem Hersteller koordiniert hat. Zwei davon ermöglichen es einem angreifenden Dritten, durch Verkettung Code mit Root-Rechten auf jedem Router auszuführen, der den SSH-Dienst ungesichert im Internet anbietet, ohne Anmeldeinformationen vorzuweisen. Die polnische Agentur nannte die Kette MikroTrick und berichtet, dass sie bereits vor der öffentlichen Offenlegung Versuche zur Ausnutzung registriert hat.

Die beiden Schwachstellen, die die Verkettung ermöglichen

Das erste Glied, katalogisiert als CVE-2026-67276, ist eine Schwachstelle bei der Überprüfung des RSA-öffentlichen Schlüssels, der zur Authentifizierung von SSH-Sitzungen verwendet wird. Der RouterOS akzeptiert eine Signatur als gültig, wenn der Modulus mit dem einer autorisierten Schlüssel übereinstimmt, ohne den Rest des kryptografischen Materials zu überprüfen. Ein Angreifer, der den öffentlichen Modulus eines autorisierten Benutzers kennt, kann Signaturen fälschen und eine SSH-Shell im Namen dieser Identität öffnen, selbst ohne den privaten Schlüssel zu besitzen.

Das zweite Glied, CVE-2026-86060, betrifft die Zugriffskontrollrichtlinie, die RouterOS basierend auf dem im Login angegebenen Benutzernamen anwendet. Namen, die mit einem verbotenen Zeichen beginnen, lassen den Interpreter die Überprüfung überspringen und den permissivsten Profil übernehmen. In Kombination mit der RSA-Überprüfungsanfälligkeit verwandelt dieses zweite Element den ohne authentische Anmeldeinformationen erhaltenen Zugang in eine Administratorsitzung. Die Warnung von CERT Polska beschreibt außerdem vier weitere Schwachstellen, die im gleichen Paket veröffentlicht wurden, darunter das Lesen von Dateien als Root ohne Authentifizierung im Verzeichnis /jsproxy der WebFig-Oberfläche, was für den Angreifer nützlich ist, der das Gerät vor dem nächsten Schritt inventorieren möchte.

MikroTik bestätigt in seiner Sicherheitswarnung, dass korrigierte Versionen in allen Kanälen, einschließlich stabiler und langfristiger Versionen, veröffentlicht wurden, und empfiehlt, sofort zu aktualisieren, wenn SSH oder WebFig ins Internet exponiert werden. Der Hersteller rät zudem, die Management-Pläne durch eine Firewall-Liste einzuschränken und die autorisierten Schlüssel nach dem Update zu rotieren. Das Zeitfenster für den Schutz ist kurz: In früheren Zero-Day-Zyklen bei Edge-Routern betrug der Zeitraum zwischen der öffentlichen Offenlegung und massiven Scans Stunden, nicht Tage.

Warum MikroTik das Ziel ist

RouterOS bildet die Grundlage für einen erheblichem Teil des letzten Kilometers in Regionen, in denen die Kosten pro Gigabit mehr Gewicht haben als die Marke. Regionale Anbieter in Lateinamerika, Südostasien und Osteuropa betreiben Flotten von Tausenden von Einheiten, die massenhaft über SSH verwaltet werden. In Brasilien stattet MikroTik einen relevanten Teil der Operationen der unabhängigen Anbieter aus, die mittelgroße Städte und ländliche Gebiete bedienen, ein Segment, das die Anatel als kleine Anbieter klassifiziert und das in den letzten Zyklen für die Hälfte der festen Breitbandbasis verantwortlich ist, etwas in der Nähe von 24 Millionen Wohnanschlüssen, wenn man die regionalen PPPs summiert.

Der europäische Standard ist ähnlich, mit einer Konzentration in Polen, Tschechischer Republik und Deutschland, Ländern, in denen MikroTik als Referenz für Wireless ISPs geboren wurde. Ein typischer Anbieter mit tausend Routern im Feld, ohne ein aktuelles Inventar, muss in Stunden nachverfolgen, welche Einheiten SSH ins Internet exponieren, welche verletzliche Versionen ausführen und welche Remote-Updates ohne Durchgang beim Endbenutzer akzeptieren. CERT Polska berichtet, dass die laufenden Angriffe noch von Betreibern ausgehen, die den Vektor im größeren Maßstab testen, aber das öffentliche Protokoll legt das Rezept für jeden Darsteller offen, der ein Botnetz aufbauen oder in das Netzwerk des Abonnenten pivotieren möchte, ein Szenario, das dem VPNFilter von 2018 und dem Cyclops Blink von 2022 ähnelt, beide mit Ursprung in ungepatchten Zugang Routern.

Was sich für den CISO ändert

Für das Sicherheitsteam ergeben sich zwei zentrale Lesarten. Erstens erfordert der Vektor keine Social Engineering oder zuvor geladenen Malware: Wer den RSA-Modulus eines autorisierten Schlüssels hat oder weiß, wie man die Überprüfung des Benutzernamens umgeht, betritt die Infrastruktur als Administrator. Zweitens ist die kompromittierte Oberfläche kein Datacenter, sondern das Zugang Netzwerk. EDR-Tools erfassen diesen Layer nicht, und viele der Operationen, die MikroTik im Feld nutzen, lagern das Management an regionale Integratoren aus, die in monatlichen, nicht in Notfallfenstern arbeiten.

Das unmittelbare Handbuch bleibt das gleiche wie immer bei einem Fehler im Edge-Gerät: SSH für die Öffentlichkeit schließen, die Quelle durch eine Firewall-Liste einschränken, autorisierte Schlüssel rotieren und die vom Hersteller angekündigten korrigierten Versionen anwenden. Außerhalb der Checkliste signalisiert die Koordination von CERT Polska etwas Neues. Nationale europäische Agenturen beginnen, die technische Spitze in einer Produktklasse zu übernehmen, die selten in Zero-Day-Bulletins erscheint. Wenn sich dieser Ansatz ausbreitet, werden andere CERTs die gleiche Koordinierungsdisziplin bei Zugang Routern übernehmen, ein Bereich, der historisch gesehen Bulletins des Herstellers und fragmentierte Berichterstattung der Fachpresse überlassen blieb, und der CISO erhält eine offizielle Warnung zu Plattformen, die heute unsichtbar in seinem Risikoinventar sind. Der gewonnene Signalwert kommt jedoch mit einem Preis: Wenn die Warnung öffentlich wird, beginnt auch das Wettrennen.