MikroTik RouterOS-Sicherheitslücken werden aktiv ausgenutzt – Updates stehen bereit

11. Sep. 2026

4 Min. Lesezeit

Transparenzhinweis: Affiliate-Links enthalten – Details am Artikelende.

Mehrere MikroTik RouterOS-Sicherheitslücken werden derzeit für Angriffe auf erreichbare Router verwendet. Besonders gefährdet sind Geräte, deren SSH-Zugang aus dem Internet angesprochen werden kann. Die US-Cybersicherheitsbehörde CISA nahm zwei der Schwachstellen am 10. September 2026 in ihren Katalog aktiv ausgenutzter Sicherheitslücken auf. Sicherheitsupdates stehen bereits bereit.

Für typische Heiminstallationen besteht nach Einschätzung von MikroTik kein unmittelbares Risiko, weil die Standardkonfiguration den SSH-Zugriff aus dem Internet blockiert. Das ist jedoch kein Grund, das Update aufzuschieben: Wurde die Konfiguration verändert, ein Fernzugang eingerichtet oder der Router in einem Unternehmen eingesetzt, kann die Angriffsfläche deutlich größer sein.

Warum die MikroTik RouterOS-Sicherheitslücken gefährlich sind

Das polnische CERT Polska identifizierte insgesamt sechs Schwachstellen. Die gravierendste Angriffskette trägt den Namen „MikroTrick“ und verbindet zwei Fehler im SSH-System von RouterOS.

Bei CVE-2026-67276 prüfte RouterOS einen für die SSH-Anmeldung verwendeten öffentlichen Schlüssel nicht vollständig. Ein Angreifer, der den Benutzernamen und bestimmte Bestandteile des hinterlegten Schlüssels kannte, konnte dadurch eine Anmeldung ohne den zugehörigen privaten Schlüssel vorbereiten. Die zunächst erreichten Rechte entsprachen denen des betroffenen Benutzerkontos.

Die zweite Schwachstelle, CVE-2026-86060, betraf die Verarbeitung speziell aufgebauter Benutzernamen. Sie ermöglichte es, die Rechte einer bereits begonnenen SSH-Sitzung bis zur vollständigen administrativen Kontrolle über RouterOS auszuweiten. CERT Polska hat Angriffe beobachtet, bei denen diese Fehler kombiniert wurden. Die ersten bestätigten Aktivitäten reichen mindestens bis zum 2. September zurück.

Eine weitere Lücke, CVE-2026-67277, sitzt im Bandbreitentest-Dienst von RouterOS. Ein nicht angemeldeter Angreifer kann darüber Speicherinhalte auslesen oder einen Neustart des Routers auslösen. CISA führt sowohl diese Schwachstelle als auch CVE-2026-86060 als nachweislich ausgenutzt. Daraus lässt sich allerdings weder die Zahl betroffener Geräte noch eine besondere Angriffswelle in Deutschland ableiten.

Diese RouterOS-Versionen enthalten die Korrekturen

MikroTik veröffentlichte die ersten abgesicherten Versionen am 3. September. Laut Sicherheitsmitteilung des Herstellersbeginnen die Korrekturen bei RouterOS 7.24.2 im Stable-Zweig, RouterOS 7.23.4 im Long-Term-Zweig, RouterOS 6.49.21 sowie RouterOS 7.25 beta 3 im Entwicklungszweig.

Für Nutzer des Long-Term-Kanals ist inzwischen RouterOS 7.23.5 die sinnvollere Wahl. Die aktuelle Versionsübersicht von MikroTik zeigt, dass diese Ausgabe zusätzlich ein dringendes Problem behebt, das mit Version 7.23.4 in die IPv6-DHCP-Funktion gelangt war. Wer den Stable-Kanal verwendet, erhält weiterhin Version 7.24.2.

Das Update lässt sich in RouterOS über „System“, „Packages“ und „Check for Updates“ anstoßen. Dabei sollte der bisher verwendete Versionskanal beibehalten werden. Ein Wechsel auf eine Beta-Version ist für ein regulär eingesetztes Heim- oder Firmennetz nicht erforderlich.

Nach dem Update reicht ein grüner Status nicht aus

Die abgesicherten RouterOS-Versionen prüfen beim Start auf bestimmte Spuren einer Manipulation. Erkennt das System verdächtige Konfigurationseinträge, setzt es den Router auf den Status „Flagged“ und schränkt verschiedene Funktionen ein. Die Einzelheiten beschreibt MikroTik in der Dokumentation zum Gerätestatus.

Ein solcher Hinweis muss ernst genommen werden. Nach Empfehlung von MikroTik und CERT Polska sollten Administratoren die Protokolle und die vollständige Konfiguration auf unbekannte Benutzer, Skripte, geplante Aufgaben, Proxy-Einstellungen und Tunnel prüfen. Bei den beobachteten Angriffen tauchte unter anderem ein hoch privilegiertes Konto mit dem Namen „ops“ auf.

Das Ausbleiben der Flagged-Warnung beweist umgekehrt nicht, dass ein Gerät sicher ist. Der Mechanismus erkennt nur bekannte Spuren. MikroTik empfiehlt deshalb auch bei einem unauffälligen Router eine Kontrolle auf unbekannte oder unerwartete Änderungen.

Gibt es Hinweise auf eine Übernahme, sollte der Router vom Netz getrennt werden. Vor einem Zurücksetzen sind Protokolle und Konfiguration für eine mögliche Analyse zu sichern. Anschließend empfiehlt CERT Polska eine Wiederherstellung der Werkseinstellungen, eine neue Konfiguration auf vertrauenswürdiger Grundlage und den Austausch verwendeter Passwörter, Schlüssel und anderer Zugangsdaten. Eine vollständige Sicherung eines möglicherweise manipulierten Systems sollte nicht ungeprüft zurückgespielt werden.

Langzeit-Reviews

Produkte, die wir auch nach dem eigentlichen Test weiter im Alltag begleiten.

REVIEW: UGREEN NASync DXP4800 GT – Dual-10GbE-NAS mit AMD Ryzen im Test

Review: Oura Ring 5 im ausführlichen 8-Wochen-Test

Review: ECOVACS DEEBOT X12 PRO OMNI im Test – Intelligenter Saug- und Wischroboter mit FocusJet, ZeroTangle 4.0 und kompakter OMNI-Station

Review: ECOVACS DEEBOT X12 OmniCyclone im Test – Premium-Saugroboter mit FocusJet, OZMO Roller 3.0, OmniCyclone-Station und mehr

Review: ECOVACS DEEBOT T90 PRO OMNI – OZMO ROLLER 3.0, 30.000 PA, ZeroTangle 4.0, POWERBOOST im Test

Review: ECOVACS WINBOT W3 OMNI – Premium-Fensterputzroboter mit multifunktionaler Reinigungs-Station im Test

REVIEW: UGREEN NASYNC iDX6011 PRO – Intelligentes Power-NAS mit lokaler KI im Test

Review: UGREEN NASync DH4300 Plus – Für anspruchsvolle NAS-Einsteiger

Für Heimnutzer entscheidet vor allem der Fernzugang

Wer einen MikroTik-Router mit unveränderter Heimkonfiguration betreibt, hat wahrscheinlich keinen öffentlich erreichbaren SSH-Dienst. Trotzdem sollte die angebotene Aktualisierung installiert werden. Besonders dringend ist sie bei selbst eingerichteten Fernzugängen, weitergeleiteten Verwaltungsports, öffentlich erreichbaren Unternehmensroutern und Geräten, deren Konfiguration nicht mehr sicher nachvollzogen werden kann.

Bis zur Installation des Updates sollten SSH, WebFig und der Bandbreitentest-Dienst nicht aus nicht vertrauenswürdigen Netzen erreichbar sein. Ein abgeschotteter Verwaltungszugang oder eine VPN-Verbindung verringert die Angriffsfläche, ersetzt die korrigierte RouterOS-Version aber nicht.

Wie Hersteller aktiv ausgenutzte Schwachstellen seit dem 11. September in der EU melden müssen, regelt die neue CRA-Meldepflicht. Für Besitzer eines betroffenen Routers bleibt die praktische Konsequenz unabhängig davon eindeutig: RouterOS aktualisieren und danach kontrollieren, ob unbekannte Änderungen zurückgeblieben sind.

Stand der Recherche: 11. September 2026, 18:29 Uhr CEST.

Hauptquellen

Transparenzhinweis: Dieser Beitrag enthält keine Affiliate-Links. Die Geräte wurden nicht selbst getestet; die Einordnung beruht auf den Sicherheitsmeldungen von MikroTik, CERT Polska und CISA.

Aktuelle Angebote