MikroTrick PoC — CVE-2026-86060 (RouterOS unauthentifizierte vollständige Übernahme)

poc_mikrotrick.py ist ein eigenständiger Exploit für die SSH-Angriffskette, die CERT Polska am 2026-09-05 als "MikroTrick" veröffentlichte und die seit mindestens 2026-09-02 in freier Wildbahn gegen internetzugewandte MikroTik-RouterOS-Geräte ausgenutzt wird. Ein einzelner Durchlauf verwandelt eine unauthentifizierte SSH-Verbindung in eine vollständige Administratorkonsole. Keine Anmeldedaten, keine Benutzerinteraktion.

Die drei CVEs

Ein zusätzlicher, unbenannter Zustandsfehler ist erforderlich: Ein abgelehnter Login lässt den Benutzernamen im Sitzungszustand des Servers ausstehend zurück. Der Exploit verlässt sich darauf in Schritt 1 unten. MikroTiks Patches (2026-09-03) schließen die gesamte Kette.

Wie der Exploit funktioniert

1. Ausstehender Benutzername. Der Client versucht eine Passwortauthentifizierung als Benutzername -2. Der Server lehnt sie ab, lässt sie aber im Sitzungszustand ausstehend zurück. Dies ist der erste IoC der Kampagne: login failure for user -2.
2. Pre-Auth-Rekey (CVE-2026-67279). Ein Schlüsselaustausch vor Abschluss der Authentifizierung bringt den Server dazu, sein Authentifizierungs-Gate aufzuheben.
3. Kanal öffnen + PTY. Ein Sitzungskanal wird ohne Authentifizierung geöffnet, und die interaktive Shell startet den Login-Helper mit dem ausstehenden -2.
4. Policy-Masken-Austausch (CVE-2026-86060). Der Login-Helper liest bis zu 4096 Bytes aus Dateideskriptor 2 und teilt sie an NUL in eine Ersatzidentität und Policy-Maske auf. Der Exploit sendet eine All-Ones-Maske, die RouterOS auf das vollständige Policy-Set begrenzt. Die Sitzung kommt als vollständiger Administrator hoch; weitere Aktionen werden als ssh:-2@<ip> protokolliert, der Fingerabdruck der Kampagne.

Der Exploit legt ein Testkonto mit vollen Rechten an (hacker / hacker), gibt den Login-Befehl aus und beendet sich. (Die ausgebeutete Konsole selbst ist instabil — ein späterer Rekey aktiviert das Authentifizierungs-Gate erneut und der Kanal stirbt — daher ist ein normaler SSH-Login der dauerhafte Weg.)

Verwendung

python3 poc_mikrotrick.py <host>                  # plant hacker account, print ssh login
python3 poc_mikrotrick.py <host> "<ros command>"  # run one command, exit

Voraussetzung: python3-paramiko. Das Skript ist ein Lab-Client und verweigert Nicht-Privat-IP-Ziele.

Betroffene und behobene Versionen

• Anfällig: RouterOS [7.24, 7.24.2), [7.0.0, 7.23.4), [6.0.0, 6.49.21)
• Behoben: 7.25beta3, 7.24.2, 7.23.4, 6.49.21
• Getestet: CHR 7.23.3 (ausnutzbar) vs. CHR 7.23.4 (Exploit schlägt korrekt fehl). Deterministisch über wiederholte Durchläufe.

Erkennung

• Log-Zeile login failure for user -2 via ssh
• Log-Zeilen user <name> added by ssh:-2@<ip>
• Unbekanntes hochprivilegiertes Konto ops
• /system/device-mode/print mit dem "Flagged"-Marker (dessen Fehlen beweist nichts)

Wenn eines davon auf einem Gerät erscheint, behandeln Sie es als kompromittiert: isolieren, patchen und alle Benutzer, Skripte, Scheduler-Aufgaben und Tunnel überprüfen.

Referenzen

• CERT Polska Offenlegung
• MikroTik Sicherheitsbulletin (2026-09-03)
• CISA Known Exploited Vulnerabilities: CVE-2026-86060, CVE-2026-67277 (hinzugefügt am 2026-09-10)

Rechtliches

Führen Sie dies nur gegen RouterOS-Instanzen aus, die Ihnen gehören oder für die Sie ausdrücklich autorisiert sind, Tests durchzuführen. Der Angriff auf Geräte, die Ihnen nicht gehören, ist eine Straftat.