CVE-2026-67276: SSH-Authentifizierung in MikroTik RouterOS umgehen
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.CVE-2026-67276 betrifft die SSH-Authentifizierung von MikroTik RouterOS und hat einen CVSS-Wert von 9.2 (CVSS 4.0). Die Schwachstelle kann einen SSH-Kommandozugang als Zielbenutzer ermöglichen, ohne dass dessen privater Schlüssel vorliegt. CERT Polska berichtet über aktive Ausnutzung seit dem 2. September 2026. MikroTik veröffentlichte Sicherheitsupdates am 3. September 2026; die koordinierte Offenlegung durch CERT Polska erfolgte am 5. September 2026.
Bei der Zuordnung einer SSH-Anfrage zu einem autorisierten RSA-Schlüssel prüft RouterOS laut CERT Polska Schlüsseltyp und Modulus, jedoch nicht den Exponenten des öffentlichen Schlüssels. Die Signaturprüfung verwendet den vom Client gelieferten Schlüssel.
Kennt ein Angreifer den Modulus eines autorisierten RSA-Schlüssels, kann er einen Schlüssel mit dem Exponenten eins übermitteln und eine gültige Signatur erzeugen. Dadurch kann ein SSH-Kommandozugang im Kontext des Zielbenutzers entstehen, ohne dessen privaten Schlüssel zu besitzen.
Die Schwachstelle betrifft damit RouterOS-Systeme, auf denen SSH für die Administration eingesetzt wird und autorisierte RSA-Schlüssel hinterlegt sind.
Betroffene und korrigierte RouterOS-Versionen
Betroffen sind folgende RouterOS-Versionen:
RouterOS 6.49.20 und frühere Versionen dieser Linie
RouterOS 7.23.3 und frühere Versionen dieser Linie
RouterOS 7.24.1 und frühere Versionen dieser Linie
MikroTik nennt folgende korrigierte Releases:
Long-term: RouterOS 6.49.21 und 7.23.4
Stable: RouterOS 7.24.2
Beta: RouterOS 7.25beta3
CERT Polska führte die koordinierte Offenlegung durch. Die bekannte Angriffskette aus CVE-2026-67276 und CVE-2026-86060 wird als „MikroTrick“ bezeichnet.
Maßnahmen für betroffene Router
1. RouterOS aktualisieren
Betroffene Systeme sollten auf eine korrigierte RouterOS-Version aktualisiert werden. Das Update behebt die fehlerhafte Prüfung des RSA-Schlüssels bei der SSH-Authentifizierung.
2. Administrative Dienste begrenzen
SSH und weitere administrative Dienste sollten auf vertrauenswürdige Netzwerke beschränkt werden. Damit lässt sich die Erreichbarkeit von Administrationszugängen einschränken, falls ein Update nicht unmittelbar durchgeführt werden kann.
3. Hinweise auf Kompromittierung prüfen
Laut CERT Polska empfiehlt es sich, Logs und Benutzerlisten auf unbekannte Konten zu prüfen. Als dokumentierte Indikatoren nennt CERT Polska die Konten ops und -2. Als bekannte Angreifer-IP-Adressen führt CERT Polska unter anderem 82.192.72.4 und 103.102.31.18 auf.
Bei kompromittierten Geräten empfiehlt sich ein Factory Reset mit anschließender Neueinrichtung. Benutzerkonten, autorisierte Schlüssel und die Konfiguration sollten dabei erneut geprüft werden.
Priorisierung extern erreichbarer Systeme
Für die technische Priorisierung sind RouterOS-Geräte mit von außen erreichbaren SSH- oder anderen Administrationsdiensten besonders relevant. Die Schwachstelle setzt die Kenntnis eines autorisierten RSA-Modulus voraus; sie kann jedoch die Authentifizierung ohne den zugehörigen privaten Schlüssel umgehen.
Die Prüfung sollte daher zunächst klären:
Welche MikroTik-RouterOS-Geräte sind unter den eigenen IP-Bereichen erreichbar?
Auf welchen Geräten ist SSH für die Administration erreichbar?
Welche RouterOS-Versionen werden eingesetzt?
Welche Systeme weisen Auffälligkeiten in Logs oder Benutzerlisten auf?
MikroTik-Router sind im KMU- und ISP-Segment in Deutschland, Österreich und der Schweiz weit verbreitet. Organisationen, die unter die NIS-2-Richtlinie fallen — in Deutschland und Österreich gesetzlich umgesetzt —, sollten ungepatchte Netzwerkgeräte als meldepflichtiges Sicherheitsrisiko einordnen. Für die Schweiz gilt das revidierte Informationssicherheitsgesetz (ISG) mit einer Meldepflicht gegenüber dem BACS. Kommt es zu einem Datenabfluss mit Personenbezug, greift zusätzlich die 72-Stunden-Meldepflicht nach Art. 33 DSGVO.
Wie LocateRisk die Prüfung unterstützt
LocateRisk macht öffentlich erreichbare Netzwerkgeräte und exponierte Verwaltungsdienste sichtbar. MikroTik-RouterOS-Geräte können als Netzwerkkomponenten im externen Perimeter identifiziert und für eine technische Prüfung priorisiert werden.
Die Sichtbarkeit eines RouterOS-Systems oder eines SSH-Dienstes belegt keine konkret verwundbare RouterOS-Version. Sie liefert jedoch eine Grundlage, um erreichbare Geräte den zuständigen Teams zuzuordnen und den Patch-Status gezielt zu prüfen.
Ergänzend kann kontinuierliches Vendor-Risk-Monitoring Sicherheitsmeldungen von Herstellern erfassen. Bei CVE-2026-67276 verbindet diese Sicht die Herstellerinformation mit der Frage, ob MikroTik-Komponenten in der eigenen extern erreichbaren Infrastruktur vorhanden sind.
Bin ich betroffen?
Betroffen ist MikroTik RouterOS in den oben genannten Versionen; behoben wurde die Schwachstelle in 6.49.21, 7.23.4, 7.24.2, 7.25beta3. Wer wissen will, ob MikroTik RouterOS in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
Betroffen sind RouterOS-Versionen bis einschließlich 6.49.20, 7.23.3 und 7.24.1. Korrigierte Versionen sind 6.49.21 (Long-term), 7.23.4 (Long-term), 7.24.2 (Stable) sowie 7.25beta3. Systeme sollten so bald wie möglich auf eine dieser Versionen aktualisiert werden.
MikroTrick ist die Bezeichnung für eine zweigliedrige Angriffskette, die CVE-2026-67276 (SSH-Authentifizierungsumgehung) und CVE-2026-86060 (SSH-Privilegieneskalation) kombiniert. Laut CERT Polska ermöglicht die Verkettung beider Schwachstellen die vollständige Übernahme eines RouterOS-Geräts, dessen SSH-Dienst aus dem Internet erreichbar ist, ohne gültige Anmeldedaten zu besitzen.
Laut CERT Polska sind unbekannte Benutzerkonten mit den Namen ops oder -2 sowie SSH-Verbindungen von den IP-Adressen 82.192.72.4 oder 103.102.31.18 als Indikatoren dokumentiert. Administratoren sollten Benutzerlisten und Logs auf solche Einträge prüfen. Bei einem Kompromittierungsverdacht empfiehlt CERT Polska einen Factory Reset mit anschließender vollständiger Neueinrichtung des Geräts.
Stand: 08.09.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-67276
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français