Mikrotik: Über 100.000 Router sind laufenden Angriffen ausgesetzt
Angreifer haben offenbar eine Möglichkeit gefunden, Router des Herstellers Mikrotik über SSH zu kompromittieren. Wie aus einer Warnmeldung des polnischen Cert PL(öffnet im neuen Fenster) hervorgeht, werden dafür Sicherheitslücken ausgenutzt, für die der Hersteller erst vor wenigen Tagen Patches veröffentlicht hat. Anwendern wird dringend empfohlen, ihre Mikrotik-Router entsprechend zu aktualisieren.
Insgesamt deckte das Cert PL nach eigenen Angaben mithilfe von KI sechs Sicherheitslücken(öffnet im neuen Fenster) in dem auf Mikrotik-Routern installierten Betriebssystem RouterOS auf. Die Kombination von zwei dieser Lücken soll bereits ausreichen, um anfällige Geräte vollständig zu kompromittieren, sofern die Router über SSH erreichbar sind.
Bei den beiden genannten Lücken dürfte es sich um CVE-2026-67276(öffnet im neuen Fenster) und CVE-2026-86060(öffnet im neuen Fenster) handeln. Beide betreffen die SSH-Komponente des Systems und erreichen einen kritischen Schweregrad (CVSS: 9,2). Mit einer dieser Lücken lässt sich die Authentifizierung umgehen, wohingegen die andere eine Rechteausweitung ermöglicht und Angreifern einen administrativen Zugriff verleiht.
Patches sind verfügbar
Ursprünglich wollte das Cert PL die Sicherheitslücken noch eine Weile unter Verschluss halten, damit Anwender genug Zeit haben, um ihre Router zu aktualisieren. Jedoch konnten Angreifer Details zu einigen der sechs Lücken offenbar anhand der gepatchten RouterOS-Versionen rekonstruieren und nutzen diese nun aus, um anfällige Geräte zu infiltrieren. Daher warnt das Cert PL schon jetzt vor den Sicherheitslücken.
Die Patches stehen seit dem 3. September zur Verfügung(öffnet im neuen Fenster) und werden über die RouterOS-Versionen 7.25 beta 3, 7.24.2, 7.23.4 und 6.49.21 verteilt. Laut Hersteller werden kompromittierte Geräte nach dem Update anhand verdächtiger Konfigurationsänderungen automatisch erkannt und in einen Flagged-Status(öffnet im neuen Fenster) versetzt. Dies soll im Systemprotokoll des jeweiligen Routers erkennbar sein.
Allerdings warnt der Hersteller auch, dass sich Anwender bezüglich einer möglichen Kompromittierung nicht ausschließlich auf diesen Status verlassen und auch auf augenscheinlich sauberen Routern nach Hinweisen auf eine mögliche Kompromittierung suchen sollten.
Über 100.000 Router potenziell gefährdet
Wie aus Meldungen Betroffener(öffnet im neuen Fenster) hervorgeht, scheinen die Angreifer sich auf anfälligen Geräten einen eigenen Nutzer namens "ops" anzulegen. Auch das Cert PL nennt in seiner Warnmeldung(öffnet im neuen Fenster) zu den beobachteten Angriffen einige Kompromittierungsindikatoren sowie Handlungsempfehlungen für Betroffene.
Laut den Scans der Shadowserver Foundation(öffnet im neuen Fenster) sind weltweit aktuell etwa 122.500 Mikrotik-Router aus dem Internet über SSH erreichbar. Angeführt wird das Feld von Brasilien mit 11.300 Geräten, gefolgt von den Vereinigten Staaten (7.100), Indonesien (6.300) und der Tschechischen Republik (6.300). Auch in Deutschland sollen immerhin 1.700 Mikrotik-Router per SSH ansprechbar sein. Wie viele dieser Geräte tatsächlich angreifbar und noch nicht gepatcht sind, geben die Daten der Shadowserver Foundation allerdings nicht her.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.