Wer in seinem Netzwerk MikroTik-Router einsetzt, sollte momentan nicht wegschauen. Eine neue Sicherheitsbedrohung namens MikroTrick sorgt für Aufsehen und erfordert sofortiges Handeln, da die Sicherheitslücken bereits aktiv ausgenutzt werden.

Was ist der MikroTrick?

Das polnische CERT Polska hat vor einer Angriffskette gewarnt, die es Angreifern ermöglicht, die vollständige Kontrolle über RouterOS-Geräte zu übernehmen – und das ganz ohne gültige Zugangsdaten.

Die Forscher haben insgesamt sechs Sicherheitslücken in MikroTik RouterOS identifiziert. Das Besondere an dem „MikroTrick“ getauften Angriffmechanismus ist die Kombination aus zwei spezifischen Schwachstellen:

1. Fehlerhafte Schlüsselprüfung: Der SSH-Server von RouterOS prüft verwendete Schlüssel nicht korrekt. Angreifer können so eigene Schlüssel erstellen, um sich Zugang zu verschaffen (CVE-2026-67276).
2. Admin-Zugriff durch Benutzernamen: Durch die Verwendung speziell präparierter Benutzernamen erhalten die Angreifer im nächsten Schritt direkt Admin-Rechte (CVE-2026-86060).

Das Ergebnis ist kritisch bis fatal: Wenn der SSH-Dienst von außen (aus dem Internet) erreichbar ist, können Angreifer das Gerät vollständig übernehmen.

Die Lage ist ernst: Angriffe laufen bereits

Es handelt sich bei MikroTrick um keine rein theoretische Gefahr. Laut CERT Polska werden diese Lücken bereits aktiv ausgenutzt. Admins sollten daher davon ausgehen, dass Geräte, die über einen von aussen erreichbaren SSH-Zugang verfügen, bereits kompromittiert sein könnten.

Was jetzt zu tun ist

1. Sofortiges Update

Der Hersteller hat bereits Sicherheitsupdates bereitgestellt. Stellen Sie sicher, dass Ihr RouterOS auf eine der folgenden (oder neueren) Versionen aktualisiert wird:

• 7.25 beta 3
• 7.24.2
• 7.23.4
• 6.49.21

Alle älteren Versionen gelten als anfällig, insbesondere wenn Dienste wie SSH, bandwidth-test oder WebFig öffentlich erreichbar sind.

2. Auf Kompromittierung prüfen

Ein bloßes Update reicht eventuell nicht aus, wenn der Angreifer bereits „im Haus“ ist. Prüfen Sie Ihr System daher gründlich auf folgende Anzeichen:

• Log-Einträge: Achten Sie auf verdächtige Meldungen wie login failure for user -2 from <ip> via sshuser <name> added by ssh:-2@<ip>.
• Neue Benutzer: Suchen Sie nach neu angelegten, hochprivilegierten Benutzern, insbesondere nach einem Account namens ops.
• System-Status: Die Updates bieten eine Funktion, die nach bekannten Kompromittierungsmerkmalen sucht und den Status auf „Flagged“ setzt, falls Unregelmäßigkeiten gefunden werden. Prüfen Sie den Status via /system/device-mode/print und achten Sie auf den Eintrag flagged.

Fazit

Die MikroTrick-Lücken zeigen einmal mehr, wie kritisch die Absicherung von Management-Diensten wie SSH ist und konsequentes Patchmanagement ist.