Die polnische CERT-Behörde beschreibt in ihrer Warnung Angriffe der vergangenen Tage: „In den letzten Tagen beobachten wir Angriffe auf RouterOS-Geräte, die aus dem Internet erreichbar sind", heißt es dort. Man habe die Bestätigung erhalten, dass die Angreifer diese Kombination von Schwachstellen ausnutzen, um die vollständige Kontrolle über Geräte zu erlangen, deren SSH-Dienst aus öffentlichen Netzen zugänglich ist.
Den Einstieg liefert CVE-2026-67276. Weil RouterOS RSA-Public-Keys nur unvollständig validiert, genügt Angreifern die Kenntnis eines Benutzernamens und des öffentlichen Modulus des zugehörigen Schlüssels: Sie konstruieren daraus einen abweichenden Schlüssel und melden sich ohne den legitimen privaten Schlüssel an. Der zweite Baustein, CVE-2026-86060, hebelt die Rechtetrennung aus — über einen speziell präparierten Benutzernamen lässt sich die SSH-Sitzung so beeinflussen, dass der Angreifer volle Administratorrechte bekommt. Beide Lücken gelten als kritisch und wurden vom polnischen CERT mit Unterstützung der Modelle GPT-5.5-cyber und GPT-5.6-sol gefunden.
Zusätzlich verweist die Behörde auf eine dritte Schwachstelle: CVE-2026-67277 betrifft den Bandwidth-Test-Dienst von RouterOS und erlaubt es nicht authentifizierten Angreifern, Kernel-Speicher auszulesen oder den Router aus der Ferne zum Absturz beziehungsweise Neustart zu bringen.
MikroTik hat die Fehler mit RouterOS 7.25beta3, 7.24.2, 7.23.4 und 6.49.21 geschlossen, veröffentlicht am 3. September. Der Hersteller weist in seinem Advisory darauf hin, dass nicht alle Konfigurationen betroffen sind, verzichtet aber auf Details, um Nutzern Zeit für das Einspielen der Updates zu geben. Das polnische CERT hat die Korrekturen validiert.
Die neuen Versionen bringen zudem eine Kompromittierungserkennung mit: Beim Start sucht das System nach bekannten Anzeichen unbefugter Konfigurationsänderungen, deaktiviert schädliche Einträge und schreibt eine kritische Warnung ins Protokoll. Das CERT betont allerdings, dass ein fehlender Kompromittierungsmarker keine Garantie dafür ist, dass ein Router nicht übernommen wurde. Die Behörde hat außerdem Indikatoren für eine Kompromittierung (IoCs) veröffentlicht.
Bei Verdacht empfiehlt das polnische CERT, den Router zu isolieren, Protokolle und Konfiguration zu sichern, das Gerät anschließend auf Werkseinstellungen zurückzusetzen und aus einer vertrauenswürdigen Konfiguration neu aufzubauen — begleitet vom Wechsel aller Passwörter, Schlüssel und sonstigen Geheimnisse.
Wer nicht sofort aktualisieren kann, soll von außen erreichbare SSH-, WWW/WWW-SSL- und Bandwidth-Test-Dienste einschränken oder abschalten sowie die integrierten SSH-Clients und ausgehende TLS-Verbindungen über nicht vertrauenswürdige Netze meiden.
Wie groß die Angriffsfläche ist, zeigen Zahlen der ShadowServer Foundation: Zum 5. September waren 122.500 MikroTik-Geräte mit offener SSH-Schnittstelle im Netz sichtbar. Wie viele davon konkret für die „MikroTrick"-Kette anfällig sind, wurde nicht ermittelt.