Kritische Schwachstellen: 122.500 MikroTik-Router weltweit gefährdet
Veröffentlicht am: 07.09.2026 um 22:23 Uhr | Redaktion boerse-global.de
Sicherheitsforscher und Behörden warnen vor einer akuten Bedrohungslage für Netzwerk-Infrastrukturen weltweit. Angreifer nutzen derzeit gezielt Schwachstellen in der Fernwartungssoftware ScreenConnect von ConnectWise sowie eine Kette kritischer Sicherheitslücken in MikroTik RouterOS aus, um die vollständige Kontrolle über betroffene Geräte zu erlangen.
Aktuelle Analysen der Organisation Shadowserver vom 5. September 2026 verdeutlichen das Ausmaß: Allein für MikroTik wurden rund 122.500 exponierte Geräte identifiziert.
Schwachstelle im Dateiübertragungs-Feature von ScreenConnect
Das Unternehmen ConnectWise hat eine Warnung vor einer Sicherheitslücke in der Dateiübertragungsfunktion von ScreenConnect herausgegeben. Betroffen sind demnach sowohl Cloud-Installationen als auch On-Premise-Umgebungen.
Während für die Schwachstelle bislang keine CVE-Kennung vorliegt, wird ein entsprechender Patch innerhalb einer Woche erwartet. Als vorübergehende Gegenmaßnahme bestätigte ConnectWise die Wirksamkeit einer Deaktivierung der „TransferFiles“-Berechtigung für Support- und Access-Sitzungen.
Nach Angaben von Shadowserver sind derzeit rund 6.000 ScreenConnect-Instanzen über das Internet erreichbar und potenziell gefährdet. Experten des Sicherheitsunternehmens Huntress melden bereits im August 2026 wurmartige Aktivitäten. Dabei verbreiteten kompromittierte Clients eine vierteilige VBScript-Kette auf neu verbundene Hosts.
Die so installierten Schadsoftware-Payloads umfassen Hintertüren, Mechanismen zur Ausweitung von Zugriffsrechten (Privilege Escalation) sowie den Krypto-Miner XMRig.
Angriffe auf Netzwerk-Software zeigen, wie schnell Sicherheitslücken zur Gefahr für die gesamte IT werden können. Dieses kostenlose E-Book liefert Unternehmen fundierte Informationen zu aktuellen Bedrohungen und zeigt, wie Sie Sicherheitslücken proaktiv schließen. IT-Sicherheit stärken und Unternehmen schützen
Die „MikroTrick“-Schwachstellenkette in RouterOS
Parallel dazu warnt das CERT Polska vor aktiven Angriffen auf MikroTik RouterOS über exponierte SSH-Dienste. Im Zentrum stehen zwei als „MikroTrick“ bezeichnete Schwachstellen: CVE-2026-67276 (SSH-Authentifizierungs-Bypass) und CVE-2026-86060 (Privilege Escalation). Beide weisen eine kritische Bewertung von 9.2 auf der CVSS-Skala auf. In Kombination ermöglichen sie es Angreifern, ohne vorherige Authentifizierung die volle Kontrolle über SSH-Sitzungen zu übernehmen.
Die Ausnutzung dieser Lücken begann laut CERT Polska bereits am 2. September 2026 – nur einen Tag bevor offizielle Patches zur Verfügung gestellt wurden. Betroffen sind zahlreiche Versionen von RouterOS, darunter die Zweige 6.0.0 bis 6.49.21 sowie 7.0.0 bis 7.24.2. MikroTik stellte zwischenzeitlich Sicherheitsupdates in den Versionen 7.25beta3, 7.24.2, 7.23.4 und 6.49.21 bereit.
Geografische Verteilung und Indikatoren einer Kompromittierung
Die von Shadowserver am 5. September 2026 erfassten 122.500 exponierten MikroTik-Geräte verteilen sich über den gesamten Globus. Den größten Anteil verzeichnet Brasilien mit 11.300 Systemen, gefolgt von den USA und Indonesien mit jeweils 7.100 Geräten. In Tschechien wurden 6.300 und in der Ukraine 5.100 exponierte Instanzen gezählt. Das CERT.LV bestätigte zudem zwölf bereits kompromittierte Geräte innerhalb Lettlands.
Wer sich mit der Absicherung professioneller Infrastrukturen befasst, muss auch die psychologischen Taktiken der Angreifer kennen. Ein neuer Gratis-Report enthüllt die aktuellen Methoden der Cyberkriminellen und bietet eine konkrete Checkliste zur Abwehr. Kostenloses Anti-Phishing-Paket jetzt herunterladen
Bei den Angriffen auf MikroTik-Systeme gehen die Akteure strukturiert vor. Ein wesentliches Merkmal einer erfolgreichen Infiltration ist die Erstellung eines Benutzerkontos mit der Bezeichnung „ops“. Weitere Indikatoren für eine Kompromittierung (Indicators of Compromise, IoC) sind Log-Einträge mit dem Kürzel „-2“ sowie Zugriffsversuche von den IP-Adressen 82.192.72.4 und 103.102.31.18.
Da seit dem 5. September 2026 auch ein öffentlicher Proof-of-Concept für die „MikroTrick“-Kette existiert, raten Sicherheitsbehörden dringend zur sofortigen Installation der verfügbaren Patches. Zusätzlich empfiehlt das CERT Polska, den SSH-Zugriff strikt einzuschränken und die Geräte auf einen potenziellen „Flagged“-Status zu prüfen, um bereits erfolgte Übernahmen zu identifizieren.
