Mikrotik: Über 100.000 Router sind laufenden Angriffen ausgesetzt

Aktuelle Bedrohungslage für Mikrotik-Systeme

Eine schwerwiegende Sicherheitslage bedroht derzeit weltweit eine Vielzahl von Netzwerkinfrastrukturen, die auf Routern des Herstellers Mikrotik basieren. Wie aus einer dringenden Warnmeldung des polnischen Cert PL hervorgeht, haben Angreifer eine Methode entwickelt, um diese Geräte über das SSH-Protokoll zu kompromittieren. Die Bedrohung ist als hoch einzustufen, da die ausgenutzten Sicherheitslücken bereits vor wenigen Tagen durch den Hersteller adressiert wurden, die Angreifer jedoch schneller reagierten als viele Administratoren ihre Systeme aktualisieren konnten. Die Situation betrifft eine beträchtliche Anzahl von Geräten, die direkt aus dem Internet erreichbar sind. Es ist von einer aktiven Ausnutzung der Schwachstellen auszugehen, bei der die Kriminellen versuchen, die volle Kontrolle über die Hardware zu erlangen. Nutzer sind dazu aufgerufen, umgehend zu handeln und ihre RouterOS-Installationen auf die vom Hersteller bereitgestellten sicheren Versionen zu heben, um eine dauerhafte Übernahme ihrer Systeme zu verhindern. Die Lage ist dynamisch, da die Angreifer ihre Methoden kontinuierlich anpassen, sobald neue Informationen über die Schwachstellen öffentlich werden.

Details zu den Schwachstellen und technischen Hintergründen

Im Zentrum der Angriffe stehen insgesamt sechs Sicherheitslücken, die das Cert PL mithilfe von KI-gestützten Analysen im Betriebssystem RouterOS identifizieren konnte. Besonders kritisch ist dabei die Kombination von zwei spezifischen Schwachstellen, die unter den Kennungen CVE-2026-67276 und CVE-2026-86060 geführt werden. Beide weisen einen kritischen CVSS-Schweregrad von 9,2 auf und betreffen direkt die SSH-Komponente des Systems. Die erste Lücke erlaubt es Angreifern, die Authentifizierung zu umgehen, während die zweite eine Rechteausweitung ermöglicht, die den Tätern administrativen Zugriff auf das Gerät gewährt. Die Patches, die diese Lücken schließen, wurden am 3. September 2026 veröffentlicht und sind in den RouterOS-Versionen 7.25 beta 3, 7.24.2, 7.23.4 sowie 6.49.21 enthalten. Der Hersteller Mikrotik hat zudem eine automatische Erkennungsfunktion integriert: Nach dem Update werden kompromittierte Geräte, bei denen verdächtige Konfigurationsänderungen festgestellt wurden, in einen sogenannten Flagged-Status versetzt. Dieser Status ist im Systemprotokoll des Routers einsehbar. Dennoch warnt der Hersteller eindringlich davor, sich allein auf diese automatische Kennzeichnung zu verlassen, da auch scheinbar unauffällige Geräte Anzeichen einer Manipulation aufweisen könnten.

Hintergrund der Sicherheitslücken und deren Entdeckung

Die Entdeckung dieser Sicherheitslücken ist das Ergebnis einer intensiven Untersuchung durch das polnische Cert PL. Ursprünglich war geplant, die Details der sechs gefundenen Schwachstellen für einen längeren Zeitraum unter Verschluss zu halten, um den Anwendern ein ausreichendes Zeitfenster für die Installation der notwendigen Sicherheitsupdates zu gewähren. Dieser Plan wurde jedoch durch die Realität der aktuellen Bedrohungslage durchkreuzt. Angreifern gelang es, durch die Analyse der bereits veröffentlichten gepatchten RouterOS-Versionen Details über die Funktionsweise der Lücken zu rekonstruieren. Diese Erkenntnisse wurden unmittelbar in Angriffswerkzeuge umgesetzt, was das Cert PL dazu zwang, die Warnung vorzeitig zu veröffentlichen. Die Geschichte dieser Schwachstellen zeigt deutlich, wie schnell Informationen aus offiziellen Patches von böswilligen Akteuren für die Entwicklung von Exploits genutzt werden können. Die ursprüngliche Strategie der verantwortungsvollen Offenlegung wurde somit durch das proaktive Handeln der Angreifer untergraben, was die Dringlichkeit für die Anwender massiv erhöht hat, ihre Systeme ohne Zeitverzug auf den neuesten Stand zu bringen.

Die betroffenen Akteure und geografische Verteilung

Von der aktuellen Bedrohung sind weltweit zahlreiche Nutzer und Unternehmen betroffen, die Mikrotik-Router in ihren Netzwerken einsetzen. Die Shadowserver Foundation hat in diesem Zusammenhang Scans durchgeführt, die das Ausmaß der potenziellen Angriffsfläche verdeutlichen. Weltweit sind aktuell etwa 122.500 Mikrotik-Router über SSH direkt aus dem Internet erreichbar. Die geografische Verteilung dieser Geräte ist breit gefächert: Brasilien führt das Feld mit 11.300 Geräten an, gefolgt von den Vereinigten Staaten mit 7.100 sowie Indonesien und der Tschechischen Republik mit jeweils 6.300 betroffenen Routern. Auch in Deutschland sind etwa 1.700 Geräte über SSH ansprechbar und somit potenziell gefährdet. Neben den Nutzern und dem Hersteller Mikrotik spielt das Cert PL eine zentrale Rolle bei der Warnung und Aufklärung. Betroffene Anwender berichten zudem von konkreten Anzeichen einer Kompromittierung, wie etwa dem Anlegen eines neuen, fremden Benutzerkontos mit dem Namen "ops". Diese Indikatoren dienen als wichtige Warnsignale für Administratoren, um ihre Systeme auf Anzeichen eines unbefugten Zugriffs zu prüfen, selbst wenn die automatische Statusprüfung des Routers noch keine Auffälligkeiten meldet.

Einordnung der Sicherheitslage und Risikobewertung

Einzuordnen ist diese Entwicklung als ein hochgradig kritisches Ereignis für die Cybersicherheit. Die Kombination aus einer hohen Anzahl öffentlich erreichbarer Geräte und einer leicht ausnutzbaren Schwachstellenkette (Authentication Bypass in Verbindung mit Privilege Escalation) macht die betroffenen Router zu einem attraktiven Ziel für botnetzbasierte Angriffe oder Spionageoperationen. Den Berichten zufolge ist die Geschwindigkeit, mit der die Angreifer auf die Veröffentlichung der Patches reagiert haben, bemerkenswert und unterstreicht die Professionalität der Akteure hinter diesen Angriffen. Die Tatsache, dass selbst nach einem Update eine manuelle Überprüfung der Konfiguration empfohlen wird, verdeutlicht, dass die Angreifer bereits tiefgreifende Änderungen an den Systemen vornehmen könnten, die über den bloßen Zugriff hinausgehen. Es ist davon auszugehen, dass die Angreifer versuchen, eine dauerhafte Persistenz auf den kompromittierten Routern zu etablieren. Die Einordnung durch Sicherheitsexperten legt nahe, dass die bloße Installation des Updates zwar die Lücke schließt, aber nicht zwangsläufig bereits erfolgte Manipulationen rückgängig macht, was eine gründliche forensische Prüfung der Router-Konfiguration unumgänglich macht.

Offene Fragen und verbleibende Unsicherheiten

Trotz der detaillierten Warnungen des Cert PL und der bereitgestellten Patches durch Mikrotik bleiben einige zentrale Fragen unbeantwortet. So ist zum jetzigen Zeitpunkt unklar, wie viele der weltweit 122.500 über SSH erreichbaren Router tatsächlich bereits erfolgreich kompromittiert wurden. Die Daten der Shadowserver Foundation geben lediglich Aufschluss über die Erreichbarkeit, nicht jedoch über den aktuellen Sicherheitszustand oder den Patch-Status der einzelnen Geräte. Zudem ist nicht bekannt, welche spezifischen Ziele die Angreifer mit der Erstellung des "ops"-Benutzerkontos verfolgen und ob noch weitere, bisher unentdeckte Hintertüren in den Systemen installiert wurden. Ebenso bleibt offen, ob die Angreifer über die sechs identifizierten Schwachstellen hinaus noch weitere, bisher unbekannte Wege nutzen, um in die Router einzudringen. Die genaue Herkunft der Angreifer und deren langfristige Intentionen sind ebenfalls nicht Teil der vorliegenden Informationen. Diese Lücken im Wissen über den tatsächlichen Grad der Infiltration erschweren es Administratoren, das Ausmaß des Schadens in ihren eigenen Netzwerken präzise einzuschätzen und notwendige Gegenmaßnahmen wie ein vollständiges Zurücksetzen der Geräte zu planen.

Ausblick und notwendige Handlungsschritte

Für Betroffene ergibt sich eine klare Handlungsanweisung: Die sofortige Aktualisierung auf die genannten RouterOS-Versionen ist der erste und wichtigste Schritt. Da die Angreifer jedoch bereits aktiv sind, reicht das Update allein möglicherweise nicht aus. Administratoren sollten die von den Sicherheitsexperten bereitgestellten Kompromittierungsindikatoren nutzen, um ihre Systeme auf verdächtige Aktivitäten zu prüfen. Dies beinhaltet insbesondere die Kontrolle der Benutzerverwaltung auf unbekannte Accounts wie den erwähnten "ops"-Nutzer. Sollten Anzeichen einer Kompromittierung vorliegen, ist eine gründliche Bereinigung oder ein Zurücksetzen der Konfiguration auf einen bekannten, sicheren Stand unumgänglich. Der Hersteller wird voraussichtlich weitere Informationen bereitstellen, falls sich die Angriffsmuster ändern. Es ist zudem zu erwarten, dass Sicherheitsbehörden und CERT-Teams weltweit ihre Überwachung der betroffenen IP-Adressbereiche intensivieren werden, um die Ausbreitung der Angriffe einzudämmen. Anwender sollten die offiziellen Kanäle von Mikrotik sowie die Warnmeldungen des Cert PL in den kommenden Tagen engmaschig verfolgen, um auf neue Erkenntnisse oder weitere notwendige Sicherheitsmaßnahmen zeitnah reagieren zu können.