Kritische MikroTik RouterOS-Schwachstelle könnte Angreifern Root-Zugriff ermöglichen

CISA hat davor gewarnt, dass eine kritische Schwachstelle in MikroTik RouterOS entfernten Angreifern ermöglichen könnte, Code mit Root-Rechten auszuführen, ohne sich anzumelden. Die Schwachstelle CVE-2026-84411 könnte außerdem durch eine einzige speziell präparierte Anfrage einen Denial-of-Service verursachen.

Die Behörde gibt jedoch an, keine Kenntnis von einer aktiven Ausnutzung zu haben. Ihre Sicherheitsmeldung enthält außerdem widersprüchliche Versionsangaben, wodurch unklar bleibt, welche Versionen das Problem vollständig beheben.

Schwachstelle in der Webverwaltung erfordert keine Anmeldung

Die Schwachstelle betrifft einen Integer-Unterlauf bei der Verarbeitung von HTTP-Anfrageinhalten durch den Webverwaltungsdienst von RouterOS.

Da Angreifer die anfällige Funktion bereits vor der Authentifizierung erreichen können, benötigen sie keine gültigen Anmeldedaten, um eine Ausnutzung zu versuchen. Sie benötigen jedoch Netzwerkzugriff auf den betroffenen Dienst.

Laut CISA könnte eine einzige speziell präparierte Anfrage die Ausführung beliebigen Codes mit Root-Rechten auslösen. Alternativ könnte ein Angreifer die Schwachstelle nutzen, um den Betrieb des Geräts zu stören.

Root-Zugriff würde einem Angreifer weitreichende Kontrolle über das betroffene System geben. Daher stellt die Schwachstelle überall dort ein ernstes Risiko dar, wo anfällige Verwaltungsdienste von nicht vertrauenswürdigen Netzwerken aus erreichbar sind.

Widersprüchliche Versionsangaben lassen Fragen offen

CISA führt RouterOS-Versionen vor 7.24 als betroffen auf. Dieselbe Sicherheitsmeldung gibt jedoch an, dass MikroTik ein Upgrade auf Version 7.23 oder höher empfiehlt, um das Risiko zu reduzieren.

Diese Aussagen lassen den Status des Versionszweigs 7.23 unklar. Daher liefert die Sicherheitsmeldung keine einheitliche Antwort darauf, welche Mindestversion erforderlich ist, um die Schwachstelle in MikroTik RouterOS zu beheben.

Zum Zeitpunkt des Berichts vom 30. September war RouterOS 7.24.4 die neueste stabile Version. Gleichzeitig war 7.23.7 die neueste Langzeitversion. Beide wurden am 16. September verfügbar.

MikroTik hatte zu diesem Zeitpunkt keine separate Sicherheitsmeldung veröffentlicht, und die widersprüchlichen Angaben waren weiterhin ungeklärt.

CISA empfiehlt, den Netzwerkzugriff einzuschränken

Zusammen mit seiner Warnung erläuterte CISA Schutzmaßnahmen zur Verringerung der Gefährdung.

Erstens sollten Organisationen Kontrollsysteme vom Internet unzugänglich halten. Außerdem sollten sie Kontrollnetzwerke und entfernte Geräte hinter Firewalls platzieren und von Unternehmensnetzwerken trennen.

Für den Fernzugriff empfiehlt CISA aktuelle VPNs und einen angemessenen Schutz für verbundene Geräte.

Diese Maßnahmen können den Zugriff auf anfällige Dienste begrenzen. Organisationen benötigen jedoch weiterhin eindeutige Versionsangaben, um festzustellen, ob ihre installierte Software die Schwachstelle behebt.

Frühere Router-Angriffe betrafen andere Schwachstellen

Unabhängig davon berichtete Polens CERT kürzlich über Angriffe, bei denen zwei andere RouterOS-Schwachstellen ausgenutzt wurden: CVE-2026-67276 und CVE-2026-86060.

Angreifer kombinierten diese Schwachstellen, um die vollständige Kontrolle über Geräte mit über das Internet erreichbaren SSH-Diensten zu übernehmen.

Diese Vorfälle zeigen, dass MikroTik-Geräte weiterhin gezielt angegriffen werden. Sie belegen jedoch keine Ausnutzung von CVE-2026-84411, die CISA zum Zeitpunkt seiner Warnung nicht mit bekannten Angriffen in Verbindung gebracht hatte.