MikroTik RouterOS: MikroTrick jetzt vollständig im KEV-Katalog

Mit CVE-2026-67279 ist seit dem 25. September 2026 die zweite Hälfte der MikroTrick-Kette im KEV-Katalog der CISA gelandet. Die MikroTik RouterOS Sicherheitslücke wird also nachweislich ausgenutzt. Der eigentlich lehrreiche Teil dieses Falls ist aber weder die Lücke noch der Katalogeintrag, sondern das Tempo: CERT Polska rekonstruierte die Angriffskette nach dem Patch in Stunden – mit LLM-Agenten in einem Labor aus 40 virtuellen RouterOS-Maschinen.

Was MikroTrick technisch macht

MikroTik veröffentlichte am 3. September 2026 Patches für 7.25beta3, 7.24.2, 7.23.4 und 6.49.21 – deklariert als wichtiges Sicherheitsupdate, ohne Details. CERT Polska verglich daraufhin die Pakete per Patch-Diffing und rekonstruierte die Kette, die das Team MikroTrick nennt. Sie besteht aus zwei Fehlern:

• CVE-2026-67279: Der SSH-Server behandelt einen Rekey während der laufenden Benutzer-Authentifizierung falsch. Nach dem Rekey springt er in die Channel-Phase, ohne jemals SSH_MSG_USERAUTH_SUCCESS gesendet zu haben. Rechte vergibt das noch keine – es öffnet nur die Tür.
• CVE-2026-86060: Der Benutzername wird ungeprüft als Argument an /nova/bin/login weitergereicht. Ein Wert wie -2 wird dort als Option interpretiert, die auf Dateideskriptor 2 zeigt – und der hängt am Pseudoterminal des Angreifers. Damit lässt sich die Policy-Maske selbst setzen; 655358 entspricht der Gruppe full.

Zusammen ergibt das vollen administrativen Zugriff ohne Passwort, ohne SSH-Key und ohne erfolgreiche Anmeldung. CERT Polska identifizierte die zweite Lücke nach dem Patch-Diff in etwa einer Stunde und lieferte MikroTik einen funktionierenden Proof of Concept.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Warum der CVSS-Wert hier in die Irre führt

CVE-2026-67279 trägt zwei Bewertungen: 6,9 nach CVSS 4.0, vergeben von CERT Polska als CNA, und 6,5 nach CVSS 3.1 von der NVD. Beides ist „mittel“. Beides ist für sich genommen korrekt, denn die Lücke allein verschafft keine Rechte. Erst die Verkettung mit CVE-2026-86060 macht daraus die vollständige Übernahme. Wer strikt nach Score priorisiert, hätte diese Lücke liegen lassen – und genau deshalb steht sie jetzt im KEV-Katalog.

Zur Einordnung gehört auch die Katalog-Chronologie, die in vielen Meldungen untergeht: CVE-2026-86060 und CVE-2026-67277 stehen bereits seit dem 10. September im KEV, damals mit einer Frist von nur drei Tagen. CVE-2026-67279 kam am 25. September dazu, Frist 28. September. Die Kette war also nicht auf einen Schlag gelistet, sondern in zwei Schritten über zwei Wochen.

Und noch eine Richtigstellung, die CERT Polska ausdrücklich vornimmt: CVE-2026-67276 gehört nicht zu MikroTrick. Das ist eine eigene Lücke, mit der sich ein per RSA-Key authentifizierter Benutzer nachahmen lässt – sie setzt Kontoname und Modulus des Schlüssels voraus und liefert Zugriff nur auf dieses eine Konto. Für Massenangriffe taugt sie nicht. Mehrere Veröffentlichungen, darunter MikroTiks eigenes Bulletin, werfen sie trotzdem in denselben Topf.

Was das für dich bedeutet

Die stille Patch-Politik war jahrzehntelang ein akzeptabler Kompromiss: Details zurückhalten, damit Kunden Zeit zum Aktualisieren haben. Diese Rechnung geht nicht mehr auf. Die früheste öffentliche Angriffsspur stammt vom 2. September – einen Tag vor dem Patch. Am 4. September, keine 24 Stunden nach Veröffentlichung, stand eine öffentliche, erklärtermaßen KI-gestützte Analyse der SSH-Änderungen im Netz. Am 5. September wurde der -2-Trick in Foren diskutiert.

CERT Polska zieht daraus den Schluss, der diesen Fall so lehrreich macht: LLM-gestützte Patch-Analyse verwischt die Grenze zwischen „Update veröffentlicht“ und „Details veröffentlicht“. Reverse Engineering ist dramatisch billiger geworden – Ausrollen und forensisches Nachsehen nicht. Diese Asymmetrie trifft kleine Betriebe am härtesten, denn dort steht der Router im Schrank und wird angefasst, wenn etwas ausfällt.

Praktisch heißt das: Ein Sicherheitsupdate ohne Details ist ab sofort als Notfall zu behandeln, nicht als Hinweis. Und weil die Angriffe vor dem Patch liefen, lautet die Frage nicht „bin ich noch verwundbar“, sondern „war ich schon dran“. Bei Netzwerkgeräten wird dieser zweite Schritt fast immer übersprungen.

Konkrete Schritte

• Version prüfen und aktualisieren. Gegen MikroTrick genügen 6.49.21, 7.23.4 oder 7.24.2. Aber Achtung: Für CVE-2026-67278 – fehlerhafte Prüfung von RSA-Signaturen bei TLS- und SSH-Host-Keys – war der Fix in 7.23.4 und 7.24.2 laut CERT Polska unvollständig. Vollständig behoben ist er erst in 7.23.6 (Long-term) und 7.24.3 (Stable), nur im 7er-Zweig. Wer jetzt anfasst, geht gleich auf diese Stände.
• Logs auf die Indikatoren durchsuchen: ein fehlgeschlagener Login für den Benutzer -2, kurz darauf ein neu angelegtes Konto in der Gruppe full, in den Berichten meist ops genannt. Wiederkehrende Quell-IP in den öffentlichen Berichten: 82.192.72.4. Eine fehlgeschlagene Anmeldung, auf die ein Admin-Konto folgt, ist immer ein Befund.
• Benutzerliste und Flagged-Status kontrollieren. Neuere RouterOS-Versionen deaktivieren ein auffälliges ops-Konto automatisch und setzen den Flagged-Status. Umgekehrt gilt aber nicht: Kein Marker heißt nicht sauber.
• Gerät als kompromittiert behandeln, wenn Spuren vorliegen. In mehreren Fällen wurde nach der Übernahme eine RIF-Diagnosedatei erzeugt und per fetch abgezogen. Dann hilft kein Patch: Logs und Konfiguration sichern, Werksreset, Neuaufbau aus einer vertrauenswürdigen Vorlage, sämtliche Zugangsdaten und Schlüssel rotieren. Kein Restore eines Backups vom betroffenen Gerät.
• SSH nicht ins Internet hängen. Die Management-Ebene gehört hinter VPN oder auf eine Adressliste beschränkt. Das hätte hier trotz Auth-Bypass geholfen – SSH-Keys und strong-crypto haben es nachweislich nicht.
• Vor dem Rollout testen. Zu den neuen Versionen wurden im MikroTik-Forum Regressionen gemeldet. Ein Rollback-Plan gehört dazu, gerade bei Geräten, die nur mit physischem Zugang erreichbar sind.

Steht ohnehin ein Gerätetausch an, lohnt ein Blick auf die Auswahlkriterien für Router und Mesh-Systeme im Heimnetz: Update-Politik und Support-Zeitraum des Herstellers sind das wichtigste Kriterium – nicht der Durchsatz auf dem Karton.

Quellen

• CERT Polska: MikroTrick – technical analysis, disclosure process, and the use of LLM agents (22.09.2026)
• CERT Polska: Vulnerabilities in MikroTik RouterOS software
• CISA: Known Exploited Vulnerabilities Catalog
• NVD: CVE-2026-67279
• Security Affairs: AI Helps Uncover MikroTrick Attack Chain in MikroTik RouterOS (24.09.2026)