CVE-2026-86060
MikroTik RouterOS Improper Neutralization of Argument Delimiters in a Command Vulnerability
Beschreibung
CVE-2026-86060 ist eine kritische Argument-Injection-Schwachstelle in MikroTik RouterOS, über die ein unauthentifizierter Angreifer seine Rechte auf dem Router ausweiten kann. Der Fehler steckt im SSH-Login-Pfad: Benutzernamen, die mit einem unzulässigen Zeichen beginnen, werden bei der Argumentübergabe an den RouterOS-Login-Helper falsch behandelt, wodurch sich die vertrauenswürdige RouterOS-Policy-Maske verändern lässt. Für die Ausnutzung genügt eine unauthentifizierte SSH-Sitzung, die den Login-Helper erreicht — jedes RouterOS-Gerät mit exponiertem SSH ist damit gefährdet. MikroTik hat diese RouterOS-Schwachstelle in 6.49.21 (Long-term), 7.23.4 (Long-term) und 7.24.2 (Stable) behoben; mit einem CVSS-Wert von 9.8 und einer KEV-Listung der CISA erfordert CVE-2026-86060 sofortiges Patchen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| mikrotik | routeros | >= 6.0, < 6.49.21; >= 7.0, < 7.23.4; >= 7.24, < 7.24.2 |
Referenzen
- https://cert.pl/en/posts/2026/09/mikrotik-routeros-cve(Third Party Advisory)
- https://cert.pl/en/posts/2026/09/vulnerabilities-in-mikrotik-routeros-actively-exploited/(Mitigation, Third Party Advisory)
- https://forum.mikrotik.com/t/6-49-21-long-term-is-released/272802(Release Notes)
- https://forum.mikrotik.com/t/7-23-4-long-term-is-released/272801(Release Notes)
- https://forum.mikrotik.com/t/7-24-2-stable-is-released/272800(Release Notes)
- https://mikrotik.com/supportsec/september-2026-vulnerability/(Vendor Advisory)
- https://npratley.net/reversing-mikrotiks-silent-patch-the-routeros-7-23-4-fix-they-wouldnt-explain/(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-86060(US Government Resource)
Schwachstellentyp
CWE-88: Unsachgemäße Neutralisierung von Argumenttrennzeichen in einem Befehl ('Argument Injection')
Argument Injection tritt auf, wenn Software einen Befehl aus Eingaben einer vorgelagerten Komponente zusammensetzt, dabei aber Zeichen nicht neutralisiert, die verändern, wie das Zielprogramm seine Argumente interpretiert — aus Daten werden so zusätzliche Flags oder Optionen. Bei CVE-2026-86060 gelangt ein Benutzername, der mit einem unzulässigen Zeichen beginnt, unneutralisiert in die Argumentliste des RouterOS-Login-Helpers, sodass die vom Angreifer kontrollierte Zeichenkette als Argument zur Änderung der vertrauenswürdigen Policy-Maske interpretiert wird statt als schlichter Benutzername.
Mehr erfahren: CWE-88 — Unsachgemäße Neutralisierung von Argumenttrennzeichen in einem Befehl ('Argument Injection')
Auswirkungsanalyse
CVE-2026-86060 ist aus der Ferne über das Netzwerk ausnutzbar, mit geringer Angriffskomplexität, ohne Authentifizierung und ohne Benutzerinteraktion — einzige Voraussetzung ist, den SSH-Dienst eines betroffenen RouterOS-Geräts zu erreichen. Die Folge ist eine hohe Beeinträchtigung von Vertraulichkeit, Integrität und Verfügbarkeit: Über die geänderte vertrauenswürdige Policy-Maske erlangt der Angreifer erhöhte RouterOS-Rechte, was auf einem Router bedeutet, Datenverkehr und Konfiguration zu lesen, Routing- und Firewall-Regeln umzuschreiben und das Gerät außer Betrieb zu setzen. Da RouterOS-Geräte an Netzwerkgrenzen stehen, ist ein kompromittierter Router zugleich ein dauerhafter Brückenkopf in die dahinterliegenden Netze und eine Plattform zum Abgreifen von Datenverkehr. Der CVSS-3.1-Basiswert von 9.8 (kritisch) spiegelt diesen Schweregrad wider; der EPSS-Wert von rund 1,0 % (61. Perzentil) ist hier das schwächere Signal, denn CERT Polska berichtet über aktive Ausnutzung von RouterOS-Schwachstellen und die CISA hat CVE-2026-86060 mit Frist zum 13. September 2026 in den KEV-Katalog aufgenommen.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2026-86060 durch die Aufnahme in den Katalog bekannter ausgenutzter Schwachstellen mit der knappen Frist 13. September 2026 bestätigt. CERT Polska hat Advisories zu MikroTik-RouterOS-Schwachstellen veröffentlicht, darunter einen Beitrag mit dem ausdrücklichen Titel „Vulnerabilities in MikroTik RouterOS actively exploited", und eine als Exploit-Material gekennzeichnete technische Analyse Dritter, „Reversing MikroTik's silent patch", rekonstruiert den Fix in RouterOS 7.23.4 — der verwundbare Codepfad ist damit öffentlich analysiert und die Hürde für einen funktionierenden Exploit niedrig. Der EPSS-Wert von etwa 1,0 % (61. Perzentil) untertreibt das deutlich. Das KEV-Ransomware-Kennzeichen steht auf „Unknown", doch aus dem Internet erreichbare RouterOS-Geräte werden routinemäßig von Botnetz-Betreibern abgesucht, sodass ungepatchte Geräte als Ziel gelten müssen.
Behebung
- Die von der CISA geforderte Maßnahme umsetzen. Mitigationen gemäß den Anweisungen von MikroTik anwenden, die BOD-26-04-Vorgaben der CISA („Prioritizing Security Updates Based on Risk") sowie die „Forensics Triage Requirements" einhalten und das Gerät außer Betrieb nehmen, falls keine Mitigationen verfügbar sind. Die KEV-Frist endet am 13. September 2026.
- RouterOS auf ein korrigiertes Release aktualisieren. MikroTik hat den Fehler in 6.49.21 (Long-term), 7.23.4 (Long-term) und 7.24.2 (Stable) behoben; betroffen sind die Bereiche 6.0 bis 6.49.21, 7.0 bis 7.23.4 und 7.24 bis 7.24.2 — wählen Sie den zum eigenen Release-Kanal passenden Build.
- SSH-Dienst bis zum Patch einschränken oder abschalten. Da die Ausnutzung eine unauthentifizierte SSH-Sitzung bis zum Login-Helper voraussetzt, sollten Sie SSH auf WAN-Schnittstellen deaktivieren, an ein Management-VLAN binden oder über RouterOS-Firewall-Adresslisten nur vertrauenswürdigen Administrationsadressen den Zugriff erlauben.
- Gerät auf Kompromittierungsspuren prüfen und Vertrauen zurücksetzen. RouterOS-Benutzerkonten, Gruppenrichtlinien, Scheduler-Einträge, Skripte, SOCKS- und Proxy-Einstellungen sowie Firewall-Regeln auf unautorisierte Änderungen durchsehen, die Konfiguration exportieren und gegen eine als sauber bekannte Referenz vergleichen und sämtliche Router-Zugangsdaten und Schlüssel wechseln — eine erfolgreiche Änderung der Policy-Maske bedeutet, dass das Gerät als vollständig kompromittiert gelten muss.
- Argumentbehandlung und Management-Zugang langfristig härten, indem RouterOS auf einem unterstützten Long-Term-Branch mit zeitnahem Patching betrieben, Management-Dienste ausschließlich über ein VPN exponiert und — als generelle Abwehr gegen Argument Injection — nie unvertrauenswürdige Zeichenketten ohne Allowlist-Validierung und ohne explizite Trennung von Optionen und Operanden in Argumentpositionen von Befehlen übernommen werden.
Technische Details
CVE-2026-86060 ist eine Argument-Injection-Schwachstelle (CWE-88) im SSH-Login-Pfad von RouterOS: Der Login-Helper wird mit dem übermittelten Benutzernamen als Argument aufgerufen, und ein mit einem unzulässigen Zeichen beginnender Benutzername wird vor dem Eintritt in diese Argumentliste nicht neutralisiert. Weil der Parser des Helpers ein führendes Sonderzeichen als Beginn einer Option und nicht als Daten wertet, wird der angreiferseitig gelieferte Benutzername als Direktive konsumiert, die die vertrauenswürdige RouterOS-Policy-Maske verändert — also die interne Repräsentation der Rechte der Sitzung — und das Ergebnis ist Rechteausweitung statt eines fehlgeschlagenen Logins. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H hält einen netzwerkseitig erreichbaren Angriff mit geringer Komplexität ohne Privilegien und ohne Benutzerinteraktion fest, mit voller Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit bei unverändertem Scope. Die von MikroTik genannte Voraussetzung ist eine unauthentifizierte SSH-Sitzung, die den Login-Helper erreicht — genau deshalb ist das Sperren oder Einschränken von SSH eine wirksame Übergangsmaßnahme, solange die Patches noch ausgerollt werden.
Häufig gestellte Fragen
Wird CVE-2026-86060 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2026-86060 mit einer Behebungsfrist bis zum 13. September 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen, und CERT Polska hat ein Advisory veröffentlicht, das die aktive Ausnutzung von MikroTik-RouterOS-Schwachstellen meldet. Zusätzlich existiert eine öffentliche technische Analyse, die den MikroTik-Patch rückwärts nachvollzieht und den Aufwand zur Waffenfähigmachung senkt.
Welche Produkte sind von CVE-2026-86060 betroffen?
Betroffen ist MikroTik RouterOS in den Versionen 6.0 bis 6.49.21, 7.0 bis 7.23.4 und 7.24 bis 7.24.2. MikroTik hat das Problem in 6.49.21 (Long-term), 7.23.4 (Long-term) und 7.24.2 (Stable) behoben — jedes Gerät mit älterem Build und erreichbarem SSH ist exponiert.
Wie behebe ich CVE-2026-86060?
Aktualisieren Sie RouterOS je nach Release-Kanal auf 6.49.21, 7.23.4 oder 7.24.2. Bis das Upgrade eingespielt ist, deaktivieren Sie SSH auf internetseitigen Schnittstellen oder beschränken es auf vertrauenswürdige Management-Adressen; prüfen Sie anschließend Benutzer, Richtlinien, Skripte und Firewall-Regeln auf unautorisierte Änderungen und rotieren Sie alle Router-Zugangsdaten.
Wie schwerwiegend ist CVE-2026-86060?
CVE-2026-86060 ist kritisch mit einem CVSS-3.1-Basiswert von 9.8. Sie ist unauthentifiziert über das Netzwerk ausnutzbar, benötigt keine Benutzerinteraktion und kompromittiert über die Rechteausweitung Vertraulichkeit, Integrität und Verfügbarkeit des Routers vollständig; der EPSS-Wert liegt beim 61. Perzentil, doch die bestätigte aktive Ausnutzung und die öffentliche technische Analyse machen sie für exponierte Geräte zum Notfall-Patch.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.