Im Zentrum der Angriffe stehen zwei Schwachstellen, die CERT Polen gemeinsam als MikroTrick bezeichnet. „Wir haben nun die Bestätigung, dass die Kombination von zwei von ihnen (MikroTrick) ausgenutzt wird, um die vollständige Kontrolle über Geräte zu übernehmen, deren SSH-Dienst aus öffentlichen Netzen erreichbar ist. Nach unseren Informationen verhindert ein Update auf die neueste Version diese Angriffe", teilt die Stelle mit.
Drei Lücken hebt CERT Polen besonders hervor: CVE-2026-67276 (CVSS-Wert 9,2) erlaubt das Umgehen der SSH-Authentifizierung, CVE-2026-86060 (CVSS-Wert 9,2) die Manipulation von Rechten innerhalb einer SSH-Sitzung, und CVE-2026-67277 (CVSS-Wert 8,8) führt zu Speicheroffenlegung sowie zu einem Denial of Service.
Die Angriffe laufen laut CERT Polen mindestens seit dem 2. September. Dabei legen die Angreifer ein Konto mit dem Namen „ops" an; der Verkehr stammt aus zwei IP-Adressen, 82.192.72.4 und 103.102.31.18. „Das Vorhandensein eines dieser Artefakte deutet auf einen Ausnutzungsversuch hin und muss unverzüglich untersucht werden; gleichzeitig schließt das Fehlen der genannten Spuren unbefugte Aktivitäten nicht aus", betont CERT Polen.
Die Updates beheben drei weitere Schwachstellen: CVE-2026-67278 ermöglicht das Vortäuschen eines TLS-Servers, CVE-2026-67279 erlaubt nicht authentifizierten Angreifern die Manipulation von Dateien einschließlich Konfigurationsdateien, und über CVE-2026-67281 lassen sich Dateien im Besitz von root offenlegen, darunter Konfigurationsspeicher.
Betreiber sollten ihre MikroTik-Router möglichst kurzfristig auf RouterOS 7.25beta3, 7.24.2, 7.23.4 oder 6.49.21 aktualisieren. Ergänzend rät MikroTik, den SSH-Zugriff aus nicht vertrauenswürdigen Quellen zu sperren und die Protokolle auf Einträge mit der Markierung „Flagged" zu prüfen, die auf eine Kompromittierung hinweisen.
Dass zahlreiche Geräte den kritischen Angriffsweg offen halten, belegt die Erhebung der Shadowserver Foundation: Bei einem Scan über 24 Stunden am 5. September zählte die Stiftung mehr als 120.000 MikroTik-Systeme, deren SSH-Dienst direkt aus dem Internet erreichbar war.