Lücke in MikroTik: SSH gibt den ganzen Router her

CERT Polska hat am 5. September 2026 sechs Schwachstellen in MikroTik RouterOS veröffentlicht. Zwei davon lassen sich verketten und geben über SSH in MikroTik RouterOS volle Administratorrechte, ohne Passwort und ohne privaten Schlüssel. Die Kette heisst MikroTrick. Angriffe auf Geräte, deren SSH-Port aus dem Internet erreichbar ist, laufen mindestens seit dem 2. September, korrigierte Versionen sind bereits verfügbar.

So funktioniert die MikroTik RouterOS SSH-Kette

Die erste Lücke ist eine Umgehung der SSH-Authentifizierung. RouterOS vergleicht einen eingehenden Schlüssel mit dem hinterlegten RSA-Schlüssel nur über Typ und Modulus, nicht über den Exponenten, und prüft die Signatur mit genau dem Schlüssel, den der Client mitgeschickt hat. Wer einen gültigen Benutzernamen und den öffentlichen Teil des zugehörigen RSA-Schlüssels kennt, baut einen Schlüssel mit dem Exponenten eins, signiert damit die Anfrage und öffnet eine Sitzung im Namen dieses Benutzers. Weder privater Schlüssel noch Passwort sind nötig.

1. Der Angreifer verbindet sich mit einem Router, dessen SSH-Dienst aus dem öffentlichen Netz antwortet.
2. Ein gefälschter RSA-Schlüssel besteht den unvollständigen Vergleich und öffnet eine Sitzung als vorhandener Benutzer.
3. Ein Benutzername, der mit einem verbotenen Zeichen beginnt, rutscht durch die Argumentverarbeitung im Login-Helfer.
4. Die Policy-Maske der Sitzung wird überschrieben, und die Sitzung erhält volle Administratorrechte.

Die beiden Glieder laufen unter CVE-2026-67276 (Signaturprüfung) und CVE-2026-86060 (Argumentverarbeitung), beide mit 9.2 bewertet. Die übrigen vier betreffen einen Bandbreitentest ohne Authentifizierung, der Speicher preisgibt, die Prüfung von X.509-Zertifikaten, SSH-Befehle ohne Authentifizierung und einen nicht initialisierten Zeiger in der Dateifreigabe von WebFig.

So erkennen Sie einen übernommenen Router

CERT Polska hat konkrete Indikatoren veröffentlicht, und alle lassen sich direkt auf dem Router prüfen.

• Logeinträge: Zeilen mit login failure for user -2 from <ip> via ssh oder eine erfolgreiche Sitzung als ssh:-2@<ip>.
• Ein neues Konto: ein privilegierter Benutzer namens ops, den niemand im Team angelegt hat.
• Konfigurationsänderungen: neue SSH-Schlüssel, Skripte, Scheduler, Dienste, Firewallregeln, Proxys, Tunnel oder aktivierte Paketmitschnitte in /system history.
• Bekannte Adressen: Verbindungen von 82.192.72.4 oder 103.102.31.18.

Wenn die Anzeichen da sind, nimmt man das Gerät zuerst vom Netz und sichert die Logs, repariert wird danach. Ein Werksreset entfernt das Konto des Angreifers, aber ebenso die Spuren, und jedes Passwort und jeder Schlüssel, der auf diesem Router lag, gilt danach als fremden Händen bekannt.

Der erste Reflex ist meist ein neues Administratorpasswort, und das allein ändert nichts. Ein fremd angelegtes Konto bleibt, ein zusätzlich hinterlegter SSH-Schlüssel bleibt, und mit ihnen Skripte, Scheduler, Firewallregeln und Tunnel, die in der Zeit mit Administratorrechten in die Konfiguration geschrieben wurden. Deshalb lautet die Empfehlung, die gesamte Konfiguration zu prüfen oder sie aus einer Sicherung von vor der Exposition neu aufzubauen.

Im Büro und zu Hause sieht das Risiko unterschiedlich aus. Provider und Unternehmen führen das Management meist über eine getrennte Schnittstelle, und ein neues Konto fällt dem Monitoring auf, riskant ist dort vor allem die Zeit bis zum nächsten Wartungsfenster. Auf einem Heim- oder Kleinbürorouter wird SSH häufiger von Hand für den Fernzugriff geöffnet, ein Monitoring gibt es nicht, und das Log liest niemand, bis etwas ausfällt.

Welche RouterOS-Versionen korrigiert sind

Wenn ein Update gerade nicht möglich ist, hilft als Zwischenschritt, Fremden nicht mehr zu antworten: SSH und WebFig abschalten oder auf eine Management-Adresse begrenzen und prüfen, dass der Router sie nicht dem ganzen Internet anbietet. Heimgeräte blockieren Management-Ports ab Werk auf der WAN-Seite, gefährdet sind also vor allem Geräte, bei denen jemand den Port bewusst geöffnet hat, meist um von aussen an den Router zu kommen.

Was das für ein VPN zu Hause bedeutet

MikroTik ist nicht nur eine Büromarke. Die günstigen hEX- und hAP-Boxen sind ein verbreiteter Weg, zu Hause einen eigenen VPN-Endpunkt zu betreiben, mit WireGuard, IPsec oder L2TP direkt auf dem Router, und der Fernzugriff per SSH ist genau der Grund, warum der Port offen steht. Wenn der Router der VPN-Server ist, besitzt derjenige, der den Router besitzt, auch den Tunnel: er sieht, was den Tunnel verlässt, kann eigene Peers eintragen und den Verkehr aller Geräte dahinter mitlesen. Eine kommerzielle VPN-App auf dem Notebook verschlüsselt dessen Verkehr zum Anbieter weiterhin, aber sie räumt keinen Router auf, auf dem bereits ein fremdes Konto liegt.