CISA setzt Frist: US-Stellen müssen MikroTik patchen

CISA hat zwei Lücken in MikroTik RouterOS als ausgenutzt gelistet. Zivile US-Bundesstellen müssen bis zum 13. September patchen oder anders schützen.

Verwandt: LoadMaster in der KEV-Liste: Patch liegt seit Juni bereit  ·  CISA listet Ray: Browser starten Cluster-Jobs ohne Login

CISA setzt US-Stellen drei Tage Frist

Die US-Behörde CISA hat am 10. September zwei Schwachstellen in MikroTik RouterOS in den Katalog bekannter ausgenutzter Lücken aufgenommen. Eintrag CVE-2026-67277 betrifft den Bandwidth-Test-Dienst. Eintrag CVE-2026-86060 betrifft die Rechtevergabe über SSH-Benutzernamen.

Zivile US-Bundesstellen müssen betroffene Systeme bis zum 13. September patchen oder anders schützen. Für CVE-2026-86060 verlangt der Katalog zusätzlich eine forensische Sichtung. CISA kennzeichnet die Ransomware-Nutzung beider Lücken als unbekannt.

Das kanadische Cyber Centre bestätigt im Alert AL26-020 dieselbe Aufnahme in den Katalog. Für deutsche Betreiber gibt es keine vergleichbare Frist, das Risiko ist dasselbe.

MikroTrick umgeht Schlüssel und Anmeldung

CERT Polska hat sechs Lücken in RouterOS koordiniert offengelegt. Zwei davon bilden die Kette MikroTrick. Zusammen geben sie volle Kontrolle, wenn der SSH-Dienst aus dem Internet erreichbar ist.

Bei CVE-2026-67276 prüft RouterOS den RSA-Schlüssel bei der SSH-Anmeldung unvollständig. Die Prüfung vergleicht nur den Schlüsseltyp und einen Teil des öffentlichen Schlüssels statt des ganzen Schlüssels. Wer den Nutzernamen und diesen Schlüsselteil kennt, baut einen anderen Schlüssel und öffnet eine Sitzung ohne privaten Schlüssel.

Über CVE-2026-86060 erhält der Angreifer danach Administratorrechte. Er setzt einen Nutzernamen, der mit einem Zeichen beginnt, das RouterOS an dieser Stelle nicht erwartet. Ein alter Login-Helfer wertet die Anmeldung trotzdem als Administratorsitzung. CERT Polska setzt für beide Lücken der Kette jeweils CVSS 9,2 an.

CVE-2026-67277 trifft den Bandwidth-Test, bevor eine Anmeldung stattfindet. Darüber lassen sich Kernel-Speicher lesen oder das Gerät neu starten.

Die beobachteten Übernahmen nutzten die Kette MikroTrick, also CVE-2026-67276 und CVE-2026-86060. Die Bypass-Lücke CVE-2026-67276 steht in der CISA-Charge vom 10. September nicht, den Bandwidth-Test-Eintrag CVE-2026-67277 führt CISA dagegen ohne Details zu den Angriffen als ausgenutzt.

Angreifer waren vor dem Patch da

CERT Polska sieht erfolgreiche Angriffe mindestens seit dem 2. September. Die beobachteten Übernahmen stammten von der Adresse 82.192.72.4, von der Adresse 103.102.31.18 sind nur Angriffsversuche dokumentiert.

Die Angreifer legten ein Konto namens ops mit hohen Rechten an. RouterOS-Logs mit solchen Übernahmen zeigen laut CERT Polska Muster wie eine fehlgeschlagene Anmeldung des Nutzers -2 über SSH und eine Nutzeranlage durch ssh:-2@ mit der Quell-Adresse. Die Zeichenfolge -2 steht dabei als Nutzername im Log.

MikroTik hat den Fix am 3. September ausgeliefert, einen Tag nach den ersten beobachteten Übernahmen. CERT Polska hat die technische Lage am 5. September öffentlich gemacht.

Shadowserver zählt MikroTik-Boxen mit offenem SSH

Die Shadowserver Foundation hat am 5. September in einem 24-Stunden-Fenster mindestens 122.500 MikroTik-Geräte mit erreichbarem SSH gefunden. Der Scan prüfte nicht, ob die jeweilige Box die Lücken noch hat.

Interne Geräte ohne öffentliches SSH fehlen in der Zahl, die tatsächliche Verbreitung liegt also höher. MikroTik schreibt, die Werkseinstellung blockt SSH aus dem Internet. Bei Boxen mit später geöffnetem Port greift dieser Schutz nicht. Für Heimanwender mit unveränderter Werkseinstellung sieht der Hersteller kein unmittelbares Risiko und empfiehlt das Update trotzdem.

Nach dem Update bleibt ein fremdes Konto

RouterOS prüft nach dem Update auf bekannte Kompromittierungsspuren. Bei einem Treffer setzt es den Status Flagged, der im Log erscheint. Fehlt dieser Eintrag, schließt das eine Übernahme nicht aus. Ein bereits angelegtes Konto bleibt nach dem Update stehen.

Offen bleibt, wie viele der 122.500 Geräte mit erreichbarem SSH tatsächlich übernommen wurden, CERT Polska nennt dazu keine Zahl. Die Lücken betreffen RouterOS 6 und 7, die festen Builds stehen im Security-Bulletin von MikroTik vom 3. September.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Reicht das Update ohne Blick in die Logs?

Nein. CERT Polska und MikroTik trennen Update und Prüfung. Ein bereits angelegtes Konto bleibt nach dem Fix stehen. Ein fehlendes Flagged schließt eine Übernahme nicht aus.

Steht die SSH-Bypass-Lücke ebenfalls im KEV-Katalog?

Nein. CISA hat am 10. September CVE-2026-67277 und CVE-2026-86060 aufgenommen. Die SSH-Bypass-Lücke CVE-2026-67276 gehört zur Kette MikroTrick, steht in dieser CISA-Liste aber nicht.

Hat Shadowserver 122.500 verwundbare Router gezählt?

Nein. Die Stiftung zählte Geräte mit erreichbarem SSH in einem 24-Stunden-Fenster am 5. September. Ob die jeweilige Box ungepatcht war, hat der Scan nicht geprüft.

Lesetipps der Redaktion

LesetippFremde Befehle auf 8393 Gitea Servern möglichLesetippRhysida leakt Senatsakten: Berlin zahlt 30 Bitcoin nichtLesetippAngreifer knacken PaperCut Notfallpatch am ersten Tag

Mehr aus dem MBF Media Netzwerk

cloudmagazinHashiCorp gibt Machine Images einen HerkunftsnachweisMyBusinessFutureHersteller melden CRA-Vorfälle an ENISA vor dem CSIRTDigital ChiefsSLB kauft Kelvion: 3,5 Milliarden für KI-Kühlung

Bildquelle: KI-generiert (September 2026)