Folgen MikroTik hat Notfall-Sicherheitsupdates für RouterOS veröffentlicht, nachdem Forscher bestätigt haben, dass Angreifer aktiv eine hochgradige SSH-Authentifizierungsumgehung gegen internetzugängliche Router ausnutzen. Verfolgt unter CVE-2026-67276 und mit 9,2 auf der CVSS-Skala bewertet, ermöglicht der Fehler einem Angreifer, sich als vorhandener RouterOS-Benutzer zu authentifizieren, ohne den legitimen RSA-Privatschlüssel dieses Benutzers zu besitzen.
Die Sicherheitslücke wird erheblich gefährlicher, wenn sie mit CVE-2026-86060 kombiniert wird, einer separaten Schwachstelle zur Eskalation von SSH-Berechtigungen. CERT Polska hat die zweistufige Angriffskette MikroTrick genannt und bestätigt, dass Angreifer sie verwenden, um die vollständige administrative Kontrolle über RouterOS-Geräte zu erlangen, deren SSH-Dienst aus öffentlichen Netzwerken erreichbar ist.
Beweise deuten darauf hin, dass die Ausnutzung bereits am 2. September 2026begann, einen Tag bevor MikroTik am 3. September öffentlich gepatchte RouterOS-Versionen veröffentlichte. Erfolgreiche Angriffe haben hoch privilegierte Konten erstellt, die Gerätekonfiguration geändert und Zugriffe etabliert, die möglicherweise bestehen bleiben, bis Administratoren die kompromittierten Systeme aktiv untersuchen und neu aufbauen.
Die breitere Gruppe der MikroTrick-Schwachstellen , die von CERT Polska offengelegt wurden, umfasst sechs RouterOS-Schwachstellen, die SSH-Server- und Client-Funktionalität, den Bandbreitentestdienst, die X.509-Zertifikatvalidierung und das WebFig-Verwaltungsinterface betreffen. Allerdings bilden CVE-2026-67276 und CVE-2026-86060 die Kombination, die derzeit in aktiven vollständigen Geräteübernahme-Angriffen bestätigt wurde.
Analyse von CVE-2026-67276
Die Sicherheitslücke entsteht durch die Art und Weise, wie RouterOS RSA-Öffentliche Schlüssel während der SSH-Authentifizierung validiert. RouterOS hat nicht den vollständigen öffentlichen Schlüssel eines autorisierten Benutzers verglichen. Stattdessen wurde nur ein Teil des RSA-Schlüssels ausreichend validiert, sodass ein speziell konstruierter alternativer Schlüssel unter Bedingungen akzeptiert werden konnte, unter denen er hätte abgelehnt werden sollen.
Die wichtigsten Details für CVE-2026-67276 sind, dass ein Angreifer einen gültigen RouterOS-Benutzernamen und den öffentlichen Modulus kennt, der mit dem autorisierten RSA-SSH-Schlüssel dieses Benutzers verbunden ist. Der Angreifer kann dann einen anderen Schlüssel konstruieren, der den anfälligen Validierungsprozess besteht und sich authentifizieren, ohne den entsprechenden privaten Schlüssel zu besitzen.
Die erfolgreiche Ausnutzung dieser Schwachstelle allein gibt dem Angreifer dieselben RouterOS-Berechtigungen, die dem imitierten Konto zugewiesen sind. Wenn der angegriffene Benutzer bereits über administrative Rechte verfügt, kann dies dem Angreifer direkt wesentliche Kontrolle über das Gerät verschaffen. Wenn die Benutzerberechtigungen eingeschränkter sind, können Angreifer die Schwachstelle mit CVE-2026-86060 kombinieren, um weitere Eskalationen zu erreichen.
CVE-2026-86060 resultiert aus unsachgemäßer Behandlung von speziell gestalteten SSH-Benutzernamen, die mit einem verbotenen Zeichen beginnen. Die Schwachstelle ermöglicht die Manipulation der RouterOS-Policy-Maske, die mit der SSH-Sitzung verbunden ist, wodurch eine Berechtigungseskalation zu vollen administrativen Rechten ermöglicht wird. CERT Polska bestätigt, dass die Ausnutzung beider Schwachstellen zusammen eine nicht authentifizierte Übernahme eines RouterOS-Geräts ermöglicht, wenn SSH exponiert ist.
Diese Kette ist besonders wichtig, weil sie die übliche Anforderung beseitigt, ein gültiges Administratorpasswort oder einen privaten SSH-Schlüssel zu stehlen. Ein externer Akteur, der in der Lage ist, den SSH-Dienst zu erreichen, könnte von gestalteten Authentifizierungsversuchen zu einer privilegierten RouterOS-Session übergehen und dann administrative Operationen ausführen.
Versuche, MikroTik RouterOS in beobachteten Angriffen auszunutzen, haben sich auf Geräte konzentriert, die SSH direkt ins Internet exponieren. MikroTik stellt fest, dass Standardhaushaltskonfigurationen im Allgemeinen nicht sofort exponiert sind, aber Administratoren, die öffentliches SSH aktiviert oder Firewall-Regeln geändert haben, erheblich größerem Risiko ausgesetzt sein könnten.
CVE-2026-67276 betrifft die folgenden RouterOS-Veröffentlichungsspannen:
- RouterOS 7.24 bis Versionen vor 7.24.2
- RouterOS 7.0.0 bis Versionen vor 7.23.4
- RouterOS 6.0.0 bis Versionen vor 6.49.21
CERT Polska kategorisierte die Sicherheitslücke als CWE-347: Fehlerhafte Verifizierung der kryptografischen Signatur. Alle sechs in derselben Forschung offengelegten RouterOS-Sicherheitsprobleme teilen dieselben betroffenen Veröffentlichungsspannen.
Die Sicherheitslücke wurde von CERT Polska im Rahmen von Sicherheitsforschungen entdeckt, die in Kooperation mit MikroTik durchgeführt wurden. Forscher nutzten eine agentenbasierte Laborumgebung unterstützt von KI-Modellen, um RouterOS-Komponenten zu analysieren, Softwareversionen zu vergleichen, Protokollzustände zu modellieren und Hypothesen an realen Testsystemen zu validieren. Jeder Fund wurde anschließend manuell und durch wiederholte Tests bestätigt, bevor er offengelegt wurde.
Das genaue private Entdeckungsdatum wurde nicht veröffentlicht. MikroTik veröffentlichte die Sicherheitsupdates am 3. September 2026, während CERT Polska technische Informationen und die zugewiesenen CVEs am 5. September veröffentlichte. Reale Beweise zeigen, dass Angreifer die Kette bereits am 2. September ausnutzten, was der Kampagne null-Tage-Merkmale verleiht.
Forscher haben erfolgreiche Angriffe bestätigt, die von 82.192.72[.]4ausgingen, mit Ausnutzungsversuchen, die auch mit 103.102.31[.]18in Verbindung gebracht wurden. Beobachtete Kompromisse haben einen hoch privilegierten RouterOS-Benutzer namens ops erstellt.
Security Affairs berichtete auch über eine Infrastruktur bei 82.192.72[.]4, die ein MIPS BusyBox-Binärprogramm und Dateien namens ftpsrv.py, launch.sh und serve.py hostet. Die verfügbaren Beweise wurden bislang keiner benannten Bedrohungsgruppe zugeordnet oder es wurde festgestellt, ob die kompromittierten Router in ein Botnetz, ein Proxy-Netzwerk, eine Spionageinfrastruktur oder eine andere Operation integriert werden.
Die beobachtete Angriffskette hinterlässt besonders nützliche Artefakte in RouterOS-Protokollen und der Konfigurationshistorie. Fehlgeschlagene Ausnutzungsversuche können Einträge erzeugen, die Folgendes ähneln:
Anmeldefehler für Benutzer -2 von <ip> über ssh
Erfolgreiche Aktivitäten können anschließend erscheinen als:
Benutzer <name> hinzugefügt durch ssh:-2@<ip>
Die Zeichenfolge -2 ist besonders verdächtig, da sie kein normaler RouterOS-Benutzername ist und mit der Ausnutzung der Berechtigungsmanipulationsphase in Verbindung gebracht wurde.
Ein öffentlich verfügbares CVE-2026-67276-PoC ist jetzt für kontrollierte Labortests der SSH-Authentifizierungsschwäche erschienen. Ihre Verfügbarkeit senkt die Schwelle für die unabhängige Reproduktion der Schwachstelle weiter und verstärkt die Notwendigkeit, Patches zu installieren, bevor Scans und Ausnutzung weiter verbreitet werden.
Nützliche CVE-2026-67276 IOC umfassen derzeit die beiden beobachteten Quell-IP-Adressen, den abnormalen SSH-Benutzernamen -2, das ops-Konto und Konfigurationsänderungen, die ssh:-2@<IP> zugeschrieben werden. Security Affairs veröffentlichte zusätzlich Hashes für mehrere Dateien, die von der damit verbundenen Angreifer-Infrastruktur geborgen wurden.
CVE-2026-67276 Minderung
MikroTik und CERT Polska empfehlen, RouterOS sofort zu aktualisieren. Fixes sind verfügbar in:
- RouterOS 7.25 Beta 3 oder später
- RouterOS 7.24.2 oder später
- RouterOS 7.23.4 oder später
- RouterOS 6.49.21 oder später
MikroTik veröffentlichte anschließend RouterOS 7.23.5 , nachdem ein IPv6-DHCP-Regression in 7.23.4 entdeckt wurde. Organisationen, die den langfristigen 7.23-Zweig verwenden, sollten daher den neuesten verfügbaren Wartungsbau verwenden, anstatt absichtlich bei 7.23.4 zu stoppen.
Nach dem Update führt RouterOS eine Startüberprüfung für ausgewählte bekannte Indikatoren für unautorisierte Konfigurationsänderungen durch. Wenn verdächtige Änderungen festgestellt werden, wird dem Gerät der Status Flagged zugewiesen, die relevanten Konfigurationseinträge können deaktiviert und eine kritische Warnung im Systemprotokoll geschrieben werden.
Administratoren können diesen Zustand mit folgendem Befehl überprüfen:
/system/device-mode/print
Ein als „Flagged“ gekennzeichnetes Ergebnis sollte als Hinweis darauf behandelt werden, dass das Gerät möglicherweise kompromittiert wurde. Beide, MikroTik und CERT Polska, betonen jedoch, dass das Fehlen des „Flagged“-Markers nicht beweist, dass ein Router sauber ist, da der Mechanismus nur ausgewählte bekannte Artefakte erkennt.
Die Erkennung von CVE-2026-67276 sollte daher die Überprüfung von Patches mit Protokollüberprüfung, Konfigurationsinspektion und Analyse neu erstellter Konten und administrativer Änderungen kombinieren.
To Um die Ausnutzung von CVE-2026-67276 oder verwandte MikroTrick-Aktivitäten zu erkennen, sollten Verteidiger auf folgendes achten: Anmeldefehler für Benutzer -2 … über ssh
- Administrative Aktionen zugeschrieben zu ssh:-2@<IP>
- Ein unerwartetes privilegiertes Konto namens ops
- Verbindungen, die 82.192.72[.]4 einbeziehen
- Verbindungen, die 103.102.31[.]18 einbeziehen
- Neu hinzugefügte oder geänderte SSH-Öffentliche Schlüssel
- Unbekannte Benutzer oder geänderte Benutzerberechtigungen
- Unerwartete RouterOS-Skripte
- Verdächtige Scheduler-Aufgaben
- Neu aktivierte Proxys oder Tunnel
- Unerklärte Firewall- oder NAT-Änderungen
- Paket-Sniffing- oder Traffic-Forwarding-Konfiguration, die Administratoren nicht erstellt haben
- Andere unerwartete Konfigurationsänderungen nach SSH-Aktivität
- Wenn Administratoren nicht sofort patchen können, empfiehlt CERT Polska, extern exponierte Dienste zu deaktivieren oder sie ausschließlich auf vertrauenswürdige Verwaltungsnetzwerke zu beschränken. Dies gilt insbesondere für
If administrators cannot patch immediately, CERT Polska recommends disabling externally exposed services or restricting them exclusively to trusted management networks. This applies particularly to SSH, WWW/WWW-SSL, und den Bandbreitentestserver.
Ungepatchte Geräte sollten auch vermeiden, SSH- oder TLS-Verbindungen zu nicht vertrauenswürdigen Systemen zu initiieren. CERT Polska empfiehlt ausdrücklich, die eingebauten /system ssh- und /system ssh-exec-Clients von RouterOS zu vermeiden, bis Updates installiert sind, da andere in derselben Forschung offengelegte Schwachstellen die clientseitige Vertrauenswürdigkeit und Protokollhandhabung von RouterOS betreffen.
Diese Maßnahmen reduzieren die Exposition, ersetzen jedoch nicht das Anbieterupdate.
Wenn Protokolle, der „Flagged“-Status, ein unbekanntes ops-Konto oder andere Konfigurationsbeweise auf einen Kompromiss hindeuten, sollten Administratoren den Router als vollständig von einem Angreifer kontrolliert betrachten. Das betroffene Gerät sollte isoliert werden, und relevante Protokolldaten und Konfigurationsbeweise sollten vor der Behebung aufbewahrt werden.
CERT Polska empfiehlt dann, das Gerät auf Werkseinstellungen zurückzusetzen und die Konfiguration aus einer vertrauenswürdigen und verifizierten Quelle neu aufzubauen. Administratoren sollten nicht einfach ein vollständiges Backup von einem potenziell kompromittierten Router wiederherstellen, da böswillige Benutzer, Skripte, SSH-Schlüssel, Scheduler-Einträge, Proxys oder Tunnel erneut eingeführt werden könnten.
Alle Passwörter, SSH-Schlüssel, API-Anmeldeinformationen, VPN-Geheimnisse und andere Authentifizierungsmaterialien, die einem kompromittierten Gerät ausgesetzt waren oder darauf gespeichert sind, sollten ebenfalls geändert werden.
Die Schadensbegrenzungspriorität für CVE-2026-67276 ist besonders hoch für Router, die SSH vor dem 3. September öffentlich ins Internet exponiert haben. Da aktive Angriffe vor dem öffentlichen Verfügbarwerden des Sicherheitsupdates begannen, sollte das Patching dieser Systeme von einer retrospektiven Untersuchung begleitet werden, anstatt nur als präventive Wartung.
FAQ
Was ist CVE-2026-67276 und wie funktioniert es?
CVE-2026-67276 ist eine hochgradige SSH-Öffentlicher-Schlüssel-Authentifizierungsumgehung in MikroTik RouterOS. RouterOS hat es versäumt, einen autorisierten RSA-Öffentlichen Schlüssel vollständig während der Authentifizierung zu vergleichen. Ein Angreifer, der einen gültigen Benutzernamen und den öffentlichen Modulus seines autorisierten Schlüssels kennt, kann einen anderen Schlüssel erstellen, den RouterOS fälschlicherweise akzeptiert und somit eine SSH-Anmeldung ohne Besitz des legitimen Privatschlüssels ermöglicht. Die resultierenden Berechtigungen entsprechen denen des angegriffenen Benutzers.
Wann wurde CVE-2026-67276 erstmals entdeckt?
Das genaue private Entdeckungsdatum wurde nicht bekannt gegeben. CERT Polska entdeckte das Problem während seiner RouterOS-Sicherheitsforschung und koordinierte die Behebung mit MikroTik. MikroTik veröffentlichte gepatchte Versionen am 3. September 2026, während CERT Polska die Sicherheitslücke am 5. September öffentlich bekannt gab. Beweise zeigen, dass die Ausnutzung bereits ab mindestens dem 2. September stattfand.
Welche Auswirkungen hat CVE-2026-67276 auf Systeme?
Eine erfolgreiche Ausnutzung ermöglicht es einem Angreifer, sich als autorisierter SSH-Benutzer auszugeben, ohne den privaten RSA-Schlüssel des Benutzers zu kennen. Der Angreifer übernimmt die Berechtigungen dieses Kontos. Wenn in Kombination mit CVE-2026-86060, kann der Angriff vollständigen RouterOS-Administratorzugriff ohne vorherige Authentifizierung ermöglichen, einschließlich der Modifikation von Benutzern, SSH-Schlüsseln, Firewall-Regeln, Skripten, Proxys, Tunneln und anderen Gerätekonfigurationen.
Kann CVE-2026-67276 mich im Jahr 2026 noch betreffen?
Ja. RouterOS-Installationen bleiben anfällig, wenn sie betroffene Versionen ausführen und die Sicherheitsupdates vom September nicht erhalten haben. Geräte, die SSH aus dem öffentlichen Internet zugänglich machen, sind dem unmittelbarsten Risiko ausgesetzt, da CERT Polska aktive Ausnutzung der MikroTrick-Kette genau gegen diese Art von Exposition bestätigt hat.
Wie kann ich mich vor CVE-2026-67276 schützen?
Aktualisieren Sie sofort auf RouterOS 7.24.2, die neueste langfristige Veröffentlichung 7.23, 6.49.21, 7.25 Beta 3 oder eine neuere Version, die für Ihre Bereitstellung geeignet ist. Beschränken Sie SSH und andere Verwaltungsdienste auf vertrauenswürdige Netzwerke, überprüfen Sie den „Flagged“-Status und die Protokolle, suchen Sie nach unbekannten Benutzern und Konfigurationsänderungen und führen Sie einen Werksreset und Wiederaufbau jedes Geräts durch, das Anzeichen einer Kompromittierung zeigt.
