CVE-2026-67279MediumCVSS: 6.9

MikroTik RouterOS: SSH-Lücke erlaubt Dateizugriff ohne Authentifizierung

In MikroTik RouterOS ermöglicht ein Fehler im SSH-Rekeying unauthentifizierten Angreifern das Ausführen von Befehlen und das Erstellen oder Überschreiben von Dateien. Betroffen sind RouterOS 6.x und 7.x vor den September-2026-Fixes. Administratoren sollten umgehend auf die gepatchten Versionen aktualisieren.

METADATEN

Entdeckt:: 05.09.2026
Patch verfügbar:: Ja

BETROFFENE SYSTEME

•MikroTik RouterOS 7.24 <7.24.2
•MikroTik RouterOS 6.0.0 <6.49.21
•MikroTik RouterOS 7.0.0 <7.23.4

Zusammenfassung

In MikroTik RouterOS (CVE-2026-67279, CVSS 6.9, Medium) wechselt der SSH-Server nach einem clientseitig angeforderten Rekey in das Connection-Protokoll, obwohl keine Benutzerauthentifizierung stattgefunden hat. Ein unauthentifizierter Angreifer kann dadurch einen Session-Channel öffnen und einen Exec-Request senden, der vom Server ausgeführt wird. Dies ermöglicht das unauthentifizierte Erstellen, Überschreiben und Rekonstruieren von Dateien im RouterOS-Dateisystem, einschließlich Support-Dateien mit Konfigurations- und Diagnosedaten. MikroTik hat das Problem im September 2026 in den Versionen 6.49.21 (Long-term), 7.23.4 (Long-term) und 7.24.2 (Stable) behoben.

Technische Details

CVE-ID: CVE-2026-67279
CVSS Score: 6.9 (Medium)
Angriffsvektor: Netzwerk, unauthentifiziert, SSH-Dienst mit Zugriff auf das Gerät
Ursache: Fehlerhafte SSH-Zustandsmaschine – nach Rekey wird Connection-Protokoll betreten ohne vorherige Authentifizierung
Auswirkung: Öffnen eines Session-Channels + Exec-Request, Dispatch des Kommandos durch den Server
Folgen: Unauthentifiziertes Erstellen, Überschreiben und Rekonstruieren von Dateien im gemanagten File-Namespace, inklusive Support-Files mit Konfigurations- und Diagnosedaten
Fix-Versionen: 6.49.21 (Long-term), 7.23.4 (Long-term), 7.24.2 (Stable)
Laut CERT-PL und weiteren Analysen wird die Schwachstelle aktiv ausgenutzt, Silent-Patch in 7.23.4 wurde öffentlich reverse-engineered

Betroffene Systeme

MikroTik RouterOS 6.0.0 bis vor 6.49.21
MikroTik RouterOS 7.0.0 bis vor 7.23.4
MikroTik RouterOS 7.24 bis vor 7.24.2

Betroffen sind alle Geräte mit erreichbarem SSH-Dienst auf verwundbaren Builds, unabhängig vom RouterBOARD-Modell.

Empfehlungen und Maßnahmen

Sofort updaten auf 6.49.21 (Long-term) für v6-Zweig, 7.23.4 (Long-term) oder 7.24.2 (Stable) für v7-Zweig, je nach Release-Kanal.
Bis zum Patch: SSH-Zugriff einschränken – Firewall-Filter für Port 22, nur Management-Netze zulassen, SSH auf WAN deaktivieren, Brute-Force-Schutz prüfen.
Kompromittierung prüfen: Unbekannte Dateien, neue Support-/RIF-Dateien, geänderte Skripte, unbekannte User, Log-Einträge zu SSH-Sessions ohne Login kontrollieren.
Nach Update: Konfiguration auf Manipulation prüfen, Passwörter und Zertifikate rotieren, ggf. Netinstall bei Verdacht auf Persistenz.
Monitoring: CERT-PL- und MikroTik-Security-Advisories vom September 2026 verfolgen.