Router gehören zu den Geräten, die möglichst unauffällig ihren Dienst tun sollen. Genau deshalb geraten Updates schnell aus dem Blick. Bei MikroTik RouterOS ist das im September 2026 allerdings keine gute Idee: Mehrere Sicherheitslücken wurden veröffentlicht, und CERT Polska hat reale Angriffe auf Geräte bestätigt, deren SSH-Dienst aus dem Internet erreichbar war.
Für Privatnutzer mit Standardkonfiguration besteht laut MikroTik kein unmittelbares Risiko; ein Update empfiehlt MikroTik trotzdem allen Nutzern. Wer einen MikroTik-Router in einem kleinen Unternehmen, Heimlabor oder als bewusst fernadministrierbares Gerät betreibt, sollte den eigenen Stand trotzdem prüfen. Entscheidend sind dabei zwei Fragen: Ist RouterOS aktuell? Und sind Verwaltungsdienste unnötig aus dem Internet erreichbar?
Was ist im September 2026 passiert?
MikroTik veröffentlichte am 3. September ein wichtiges Sicherheitsupdate für RouterOS. Kurz darauf dokumentierte CERT Polska mehrere Schwachstellen. Besonders relevant ist die als MikroTrick bezeichnete Kombination aus CVE-2026-67279 und CVE-2026-86060: Auf verwundbaren Systemen konnte sie bei erreichbarem SSH-Dienst eine vollständige administrative Übernahme ohne vorherige erfolgreiche Anmeldung ermöglichen.
Das ist nicht nur ein theoretisches Laborproblem. CERT Polska bestätigte beobachtete Angriffe gegen RouterOS-Geräte, deren SSH-Dienst öffentlich erreichbar war. CISA nahm CVE-2026-86060 am 10. September und CVE-2026-67279 am 25. September in ihren Katalog der nachweislich ausgenutzten Schwachstellen auf. Damit ist klar: Für betroffene, exponierte Systeme besteht konkreter Handlungsbedarf.
Welche RouterOS-Versionen sind betroffen?
CERT Polska nennt für die beiden für MikroTrick relevanten Schwachstellen verwundbare ältere RouterOS-Versionen der 6.x- und 7.x-Zweige. Die wesentlichen Korrekturen wurden in 6.49.21, 7.23.4 und 7.24.2 veröffentlicht. MikroTik nennt zusätzlich 7.25beta3 als Version mit dem Fix.
Allerdings gibt es eine wichtige Feinheit: CERT Polska dokumentiert für eine weitere Schwachstelle, CVE-2026-67278, dass ein erster Fix in 7.23.4 beziehungsweise 7.24.2 unvollständig war. Für dieses separate Problem werden 7.23.6 beziehungsweise 7.24.3 als korrigierte Versionen genannt. Wer heute aktualisiert, sollte deshalb nicht gezielt auf einer gerade noch ausreichenden Mindestversion stehen bleiben, sondern die aktuelle unterstützte Version des verwendeten Update-Kanals installieren.
Ist jeder MikroTik-Router akut gefährdet?
Nein. MikroTik schreibt selbst, dass die meisten Konfigurationen nicht unmittelbar gefährdet seien und dass die Standardkonfiguration SSH aus dem Internet blockiert. Die von CERT Polska bestätigten Übernahmen betrafen Geräte, bei denen SSH aus öffentlichen Netzen erreichbar war.
Das ist eine wichtige Einordnung. Aus „kritische Router-Lücke“ sollte weder Panik noch Entwarnung werden. Ein ungepatchtes Gerät mit öffentlich erreichbarer Verwaltung ist etwas anderes als ein aktualisierter Router, dessen Administrationsoberfläche ausschließlich aus einem vertrauenswürdigen internen Netz oder über einen abgesicherten VPN-Zugang erreichbar ist.
Was sollte man jetzt konkret prüfen?
1. RouterOS-Version kontrollieren und aktualisieren
Der erste Schritt ist unspektakulär, aber entscheidend: Prüfen, welcher RouterOS-Zweig tatsächlich läuft, und die für diesen Kanal aktuelle unterstützte Version installieren. MikroTik empfiehlt das Update ausdrücklich für alle Nutzer.
Nach einem Router-Update sollte außerdem kontrolliert werden, ob die Konfiguration wie erwartet funktioniert. Bei geschäftlich wichtigen Anschlüssen gehört dazu idealerweise ein kurzes Wartungsfenster statt eines spontanen Updates mitten im Arbeitstag.
2. Prüfen, ob SSH oder andere Verwaltungsdienste am WAN offen sind
MikroTik empfiehlt ausdrücklich, SSH nicht für nicht vertrauenswürdige Netze zu öffnen. Wurde der Dienst irgendwann manuell aus dem Internet erreichbar gemacht, sollte geprüft werden, ob das überhaupt noch notwendig ist.
Für Fernadministration ist ein VPN in vielen Fällen die sauberere Architektur: Erst eine abgesicherte Verbindung ins eigene Netz herstellen, danach die Verwaltungsoberfläche benutzen. MikroTik nennt WireGuard selbst als Beispiel und rät davon ab, Management-Ports unnötig öffentlich freizugeben.
3. Nach dem Update nicht automatisch von „alles gut“ ausgehen
Ein Update verhindert neue Angriffe über die behobenen Schwachstellen. Es entfernt aber nicht automatisch Änderungen, die ein Angreifer bereits vorher vorgenommen haben könnte. MikroTik und CERT Polska empfehlen deshalb, die Konfiguration auf unbekannte Benutzer, Skripte, Scheduler-Aufgaben, Proxys oder Tunnel zu prüfen.
RouterOS besitzt dafür zusätzlich einen sogenannten Flagged-Status. Erkennt das System bestimmte bekannte Hinweise auf Manipulation, wird eine Warnung protokolliert. Wichtig ist die Gegenrichtung: CERT Polska betont ausdrücklich, dass ein fehlender Flagged-Hinweis kein Beweis für ein sauberes Gerät ist. Der Mechanismus erkennt nur bestimmte Spuren.
4. Bei Auffälligkeiten nicht nur das Passwort ändern
Unbekannte Administratoren, Skripte oder Konfigurationsänderungen sind kein normales Updateproblem mehr, sondern ein möglicher Sicherheitsvorfall. Dann reicht es nicht, lediglich ein Passwort auszutauschen und weiterzumachen. Konfiguration, Zugangsdaten und die Systeme hinter dem Router müssen strukturiert geprüft werden. Bei geschäftlich genutzten Netzen ist es sinnvoll, vor Änderungen relevante Protokolle und Konfigurationsstände für die weitere Analyse zu sichern.
Die wichtigere Lektion gilt auch für andere Router
Der aktuelle Vorfall betrifft MikroTik RouterOS. Das Grundproblem ist aber herstellerunabhängig: Ein Router ist kein Gerät, das man einmal konfiguriert und anschließend für zehn Jahre vergisst. Er sitzt direkt an einer besonders sensiblen Stelle zwischen internem Netz und Außenwelt.
Deshalb gehören zwei Dinge zusammen: Sicherheitsupdates und eine möglichst kleine Angriffsfläche. Unser Beitrag „Router-Updates: Warum ‚läuft doch noch‘ kein Sicherheitskonzept ist“ erklärt den Update-Aspekt grundsätzlich. Der aktuelle MikroTik-Fall zeigt nun sehr konkret, warum zusätzlich die Frage wichtig ist, welche Verwaltungsdienste überhaupt aus dem Internet erreichbar sein müssen.
Auch die Trennung von Geräten und Netzen kann Schäden begrenzen. Dazu passt unser Beitrag „Smart Home im selben WLAN?“. Netzwerksegmentierung ersetzt weder Updates noch sichere Administration, ist aber ein weiterer Baustein, damit ein einzelnes Problem nicht automatisch das gesamte Netz betrifft.
Fazit: Update prüfen, Management-Zugänge hinterfragen
Wer keinen MikroTik-Router betreibt, muss wegen MikroTrick nichts am eigenen Gerät ändern. Wer RouterOS nutzt, sollte dagegen jetzt den Versionsstand kontrollieren – besonders dann, wenn der Router in einem Unternehmen, Heimlabor oder mit individuell eingerichteten Fernzugängen läuft.
Die sinnvolle Reihenfolge ist überschaubar: aktuelle unterstützte RouterOS-Version installieren, öffentliche Verwaltungszugänge prüfen, unnötige Freigaben schließen und die Konfiguration auf unbekannte Änderungen kontrollieren. Fernwartung sollte möglichst über einen dafür vorgesehenen sicheren Zugang wie ein VPN erfolgen. Ein Router muss erreichbar sein, damit er seinen Job macht. Seine Administrationsoberfläche muss es aus dem gesamten Internet normalerweise nicht.
Quellen & weiterführende Informationen
- MikroTik: September 2026 vulnerability – Sicherheitsmitteilung vom 3. September 2026.
- CERT Polska: Critical vulnerabilities in MikroTik RouterOS are being actively exploited – Warnung vom 5. September 2026.
- CERT Polska: Vulnerabilities in MikroTik RouterOS software – technische Übersicht vom 5. September 2026.
- CERT Polska: MikroTrick – technical analysis – 22. September 2026.
- Bishop Fox: MikroTrick – Inside the RouterOS Takeover Chain – unabhängige Analyse vom 17. September 2026.
- CISA: Known Exploited Vulnerabilities Catalog – Nachweis aktiver Ausnutzung.
Alle Quellen abgerufen am 01.11.2026.
Schreibe einen Kommentar