• Die Frist der CISA zur Fehlerbehebung am 13. September ist abgelaufen für die aktiv ausgenutzte RouterOS-Sicherheitslücke CVE-2026-86060
  • Die Installation des Fixes stoppt den beobachteten Angriffsweg, sagt aber nichts darüber aus, ob ein Router vor dem Patchen verändert wurde

Die Fakten

Die Frist der US-amerikanischen Cybersecurity and Infrastructure Security Agency zur Fehlerbehebung am 13. September ist für CVE-2026-86060 abgelaufen, eine MikroTik-RouterOS-Sicherheitslücke mit Privilegieneskalation, die am 10. September in den Katalog bekannter ausgenutzter Schwachstellen aufgenommen wurde. Die Frist gilt für erfasste zivile Bundesbehörden, nicht für jeden MikroTik-Betreiber.

CERT Polska berichtete, Angreifer hätten eine Kette von RouterOS-Schwachstellen gegen Geräte eingesetzt, deren SSH-Verwaltungsdienst aus öffentlichen Netzwerken erreichbar war. Es bestätigte, dass die veröffentlichten Patches die von ihm beobachteten Angriffe stoppen. MikroTik nennt die korrigierten Versionen 7.24.2, 7.23.4 und 6.49.21; auch 7.25 beta 3 enthält den Fix.

Aktualisierte RouterOS-Versionen können ausgewählte Anzeichen unbefugter Änderungen als „Flagged“ markieren, doch CERT Polska und MikroTik warnen beide, dass das Fehlen einer Markierung nicht beweist, dass ein Gerät sauber ist. Administratoren wird empfohlen, die Konfiguration nach dem Update zu prüfen.

Die Einschätzung

Ein Update verändert, was ein Angreifer als Nächstes tun kann; es rekonstruiert nicht, was vor dem Update geschah. Das ist für einen Router relevant, der vor dem Patchen exponiert war. Der Verkehr kann sich normal fortsetzen, selbst wenn jemand im Hintergrund ein Konto, ein Skript oder eine andere administrative Änderung hinzugefügt hat.

Betreiber müssen daher mehr prüfen als die RouterOS-Version. CERT Polska verweist auf unbekannte Benutzer, Skripte, Scheduler-Einträge, Proxy-Server und Tunnel als Konfigurationselemente, die einer Überprüfung wert sind. Wo ein Kompromiss vermutet wird, empfiehlt es, Beweise zu sichern, das Gerät zu isolieren und aus einer vertrauenswürdigen Konfiguration wiederherzustellen, statt automatisch ein Backup einzuspielen, das die unerwünschte Änderung bereits enthalten kann.

Für BTW-Leser ist ein Vorfall dann überzeugender abgeschlossen, wenn der Router sowohl gepatcht als auch in einen geprüften, vertrauenswürdigen Zustand zurückversetzt ist. Ein Gerät, das online bleibt, zeigt Kontinuität; es beweist nicht, wer weiterhin die Kontrolle über seine Konfiguration hat.

Worauf zu achten ist

Darauf zu achten ist, ob Betreiber neben dem Patchabschluss auch Kompromissüberprüfungen melden, insbesondere bei Routern, die SSH in öffentlichen Netzwerken exponiert haben. Weitere Hinweise von MikroTik oder CERT Polska könnten Indikatoren für Kompromittierungen oder Wiederherstellungsschritte nachliefern, sobald mehr Angriffe analysiert wurden. Bestätigte Neuaufsetzungen aus vertrauenswürdigen Konfigurationen wären ein stärkerer Beweis für die Wiederherstellung als Uptime allein.