Kurzfassung
Für MikroTik RouterOS gibt es gleich zwei ernstzunehmende Schwachstellen, die CISA als aktiv ausgenutzt einstuft: CVE-2026-67277 und CVE-2026-86060. Beide stehen im Known-Exploited-Vulnerabilities-Katalog. Das ist der Punkt, an dem aus einem normalen Patchthema ein akutes Betriebsrisiko wird.
CVE-2026-67277 erlaubt nach NVD-Angaben das Auslesen von Kernel-Speicher und einen Denial-of-Service im btest-Dienst. CVE-2026-86060 kann eine Rechteausweitung ermöglichen, weil Argument-Delimiters in einem Kommando nicht sauber behandelt werden. Wer RouterOS öffentlich erreichbar betreibt, sollte das jetzt priorisieren.
Was ist passiert?
CISA führt beide Schwachstellen als „known exploited“. Das heißt: Angriffe laufen bereits in freier Wildbahn. Für Betreiber von MikroTik-Routern ist das deutlich relevanter als eine rein theoretische Lücke im Labor.
Die erste Lücke, CVE-2026-67277, betrifft eine fehlende Authentifizierung bei einer kritischen Funktion. In der Praxis geht es um den btest-Dienst. Der Angreifer kann damit Informationen aus dem Kernel-Speicher abgreifen und den Dienst stören oder lahmlegen.
Die zweite Lücke, CVE-2026-86060, sitzt in der Verarbeitung von Befehlsargumenten. Wenn RouterOS Eingaben falsch neutralisiert, kann ein Angreifer die vertrauenswürdige Policy-Maske verändern. Das öffnet die Tür für eine Rechteausweitung.
Technische Details
CVE-2026-67277 ist eine Missing-Authentication-Schwachstelle für eine kritische Funktion. Betroffen ist laut Quelle der btest-Service. Der Effekt ist zweifach: Kernel-Memory-Disclosure und Denial of Service. Mehr Details zur Angriffsart nennt die Quelle nicht.
CVE-2026-86060 ist eine Schwäche bei der Neutralisierung von Argument-Delimiters in einem Kommando. Dadurch kann ein Angreifer die RouterOS-Policy-Maske verändern. Das Ziel ist also nicht nur ein Absturz oder ein Informationsleck, sondern ein Schritt Richtung höherer Berechtigungen.
Für beide CVEs nennt die Quelle keine Versionsgrenzen. Ob nur bestimmte RouterOS-Zweige betroffen sind, bleibt offen. Auch ob bereits ein Update verfügbar ist, sagt der Auszug nicht. Genau diese Lücke sollten Administratoren jetzt mit den Herstellerhinweisen schließen.
Wer ist betroffen?
Betroffen ist MikroTik RouterOS. Für Unternehmen im DACH-Raum ist das vor allem dann heikel, wenn Router, WAN-Gateways oder entfernte Verwaltungszugänge auf RouterOS laufen und aus dem Internet erreichbar sind. Das gilt besonders für kleine Standorte, Außenstellen und Provider-nahe Setups, in denen solche Geräte gern lange ohne Härtung betrieben werden.
Privatnutzer sind nur dann direkt betroffen, wenn sie RouterOS-Geräte selbst betreiben. Das ist im Consumer-Bereich eher selten. Relevanter ist der Fall bei Selbstadministration, Lab-Umgebungen oder MikroTik-Hardware in kleinen Büros.
Empfohlene Maßnahmen
Admins sollten die betroffenen Systeme jetzt inventarisieren und die Internet-Exponierung sofort bewerten. Wenn RouterOS nach außen erreichbar ist, gehört das Gerät in die Prioritätsstufe 1. Die Maßnahmen sollen laut CISA nach Herstelleranweisung erfolgen und sich an BOD 26-04 sowie den Forensics-Triage-Anforderungen orientieren.
Praktisch heißt das: Patchen, sobald ein korrigiertes Update vorliegt, oder die Verwundbarkeit mit den vom Hersteller beschriebenen Mitteln entschärfen. Falls dafür keine wirksame Mitigation verfügbar ist, soll der Betrieb laut Quelle eingestellt werden. Wer Cloud-Services auf Basis des Produkts nutzt, muss die BOD-26-04-Vorgaben ebenfalls beachten.
Wichtig ist außerdem, Logs und Management-Zugänge zu prüfen. Bei aktiv ausgenutzten Schwachstellen zählt nicht nur das Schließen der Lücke, sondern auch die Frage, ob schon ein Angriff stattgefunden hat. Wer Verdachtsmomente sieht, sollte forensisch sauber vorgehen und das Gerät nicht blind neu starten oder überschreiben.
Einschätzung von CyberSecurity-News.de
Das ist kein Fall für „irgendwann im nächsten Wartungsfenster“. Zwei aktiv ausgenutzte RouterOS-Lücken in kurzer Folge sind für Betreiber ein klares Warnsignal. Vor allem die Kombination aus DoS und möglicher Rechteausweitung macht die Lage unangenehm: Erst fällt der Dienst aus, dann kann ein Angreifer im ungünstigsten Fall mehr Kontrolle gewinnen.
Die Informationslage bleibt aber an manchen Stellen dünn. NVD und CISA benennen die Wirkung, nicht den kompletten Exploit-Pfad. Versionsstände fehlen ebenfalls. Das ist ärgerlich, aber kein Grund zum Abwarten. Wer RouterOS produktiv und erreichbar betreibt, sollte jetzt prüfen, ob das eigene Setup betroffen ist, und die Herstellerhinweise sofort umsetzen.
Fazit
CVE-2026-67277 und CVE-2026-86060 gehören auf die Sofort-Liste. Beide Schwachstellen sind laut CISA aktiv ausgenutzt, beide betreffen MikroTik RouterOS, und beide können realen Schaden anrichten. Für Admins zählt jetzt vor allem Tempo: Geräte finden, Exponierung bewerten, Mitigation oder Update umsetzen, anschließend auf Spuren prüfen.
