Ein einziges präpariertes HTTP-Paket — mehr braucht es nicht, um aus einem fremden MikroTik-Router eine Root-Shell zu machen. Die US-Behörde CISA hat die Lücke am 29. September 2026 in einer eigenen Warnung veröffentlicht, und wer RouterOS im Einsatz hat, sollte jetzt genau hinsehen.
DER FEHLER: Eine Zahl, die ins Negative rutscht
Die Lücke trägt die Kennung CVE-2026-84411 und steckt in der Weboberfläche des Routers — also genau dem Dienst, über den viele Nutzer ihr Gerät bequem per Browser verwalten (WebFig, Port 80/443). Technisch handelt es sich um einen Integer-Underflow: Bei der Verarbeitung des HTTP-Anfragekörpers rutscht eine interne Zahl unter null — und das Programm reagiert darauf nicht so, wie es sollte.
Das eigentliche Problem: Die fehlerhafte Stelle ist bereits vor jeder Anmeldung erreichbar. Wer den Router im Netz findet, muss sich nicht erst einloggen, um die Lücke anzusprechen.
GEFÄHRLICH: Root-Rechte mit nur einem Paket
Die CVSS-Bewertung liegt bei 9,8 von 10 (nach dem neueren CVSS-4.0-Maßstab 9,3) — damit zählt die Lücke zu den kritischsten, die in diesem Jahr für Netzwerkgeräte bekannt wurden. Gelingt der Angriff, kann ein Angreifer Code mit Root-Rechten ausführen — also die volle Kontrolle über den Router übernehmen — oder das Gerät zumindest zum Absturz bringen. Beides mit einer einzigen, speziell gebauten Anfrage, ganz ohne Benutzername oder Passwort.
Ehrlich bleiben muss man an dieser Stelle: CISA schreibt ausdrücklich, dass bislang keine öffentlich bekannten Angriffe auf diese konkrete Lücke vorliegen. Das ist eine gute Nachricht — aber die Behörde warnt im gleichen Atemzug, das dürfe nicht als Entwarnung verstanden werden. Internetseitige Netzwerkgeräte werden nach solchen Veröffentlichungen erfahrungsgemäß innerhalb weniger Tage systematisch durchsucht.
WER BETROFFEN IST
Betroffen sind alle RouterOS-Versionen vor 7.24 mit erreichbarem Web-Management-Dienst. MikroTik-Geräte laufen europaweit in Millionen Haushalten, kleinen Firmen und bei Internetanbietern — oft als günstige Alternative zu teureren Business-Routern, und gerade im DACH-Homelab-Umfeld sehr verbreitet. Wer seinen Router nur über Winbox oder SSH verwaltet und die Weboberfläche deaktiviert hat, ist von dieser konkreten Lücke nicht betroffen.
SO SCHÜTZT DU DICH — in 5 MINUTEN
- Version prüfen: In Winbox unter
System → Packagesoder per Konsole mit/system package printdie aktuelle RouterOS-Version ablesen. - Updaten: Ist die Version niedriger als 7.24, über
/system package updateoder manuell von mikrotik.com aktualisieren. - Sofortmaßnahme, falls ein Update nicht sofort möglich ist: Den Webdienst (Port 80/443) in der Firewall für den WAN-Port sperren oder ganz deaktivieren (
/ip service disable www,www-ssl) und stattdessen nur über Winbox/SSH aus dem lokalen Netz verwalten. - Nachsehen: Ungewöhnliche Einträge in den System-Logs, unbekannte neue Benutzerkonten oder veränderte Firewall-Regeln sind Warnsignale für einen bereits erfolgten Zugriff.
EXTRA-TIPP: Grundsätzlich gehört die Weboberfläche eines Routers nie direkt ins offene Internet — unabhängig von dieser Lücke. Wer Fernzugriff braucht, nutzt dafür ein VPN statt einer offenen Verwaltungsoberfläche.
FAZIT: Updaten, bevor es ernst wird
Noch ist nichts passiert — aber genau jetzt ist der richtige Moment zu handeln, nicht erst, wenn die ersten Scans laufen. Ein Router ist das Tor zu deinem gesamten Heim- oder Firmennetz. Eine Lücke mit Root-Zugriff ohne Anmeldung gehört in diese Kategorie: sofort patchen, nicht abwarten.