Es ist eine dieser Meldungen, bei denen zwischen den Zeilen mehr steht als in ihnen: MikroTik hat eine Sicherheitslücke in RouterOS gefunden, Updates für alle Kanäle veröffentlicht — und schreibt anschließend, man verrate absichtlich noch keine Details. Der Grund ist so simpel wie beunruhigend: Alle sollen erst updaten können, bevor Angreifer wissen, wonach sie suchen müssen.
Für dich als Homelab-Betreiber heißt das: Nicht warten, bis der Rest der Geschichte erzählt wird. Wer heute noch aktualisiert, ist raus aus dem Rennen — wer bis nächste Woche wartet, spielt es gegen einen Gegner, der die Karten dann kennt.
SCHWEIGEN MIT ANSAGE: Was MikroTik verrät — und was nicht
Die Mitteilung vom 3. September ist kurz. MikroTik nennt keine CVE-Nummer, keinen CVSS-Wert, keinen Angriffsweg. Stattdessen gibt es vier Versionsnummern und einen Satz, der wichtig ist: „Die meisten Konfigurationen sind nicht gefährdet, ein Update wird aber dringend empfohlen.“
Die Fixes stecken in:
- 7.25 beta 3 — der Testkanal
- 7.24.2 — der aktuelle Stable-Zweig
- 7.23.4 — der Long-Term-Zweig
- 6.49.21 — die alte 6er-Reihe, die viele Bastler noch fahren
Dass MikroTik sogar RouterOS 6 nachpatcht, ist das eigentliche Ausrufezeichen. Der Hersteller hat diesen Zweig längst in den Wartungsmodus geschickt. Wenn dort ein Fix landet, ist die Ursache alt genug, um beide Generationen zu betreffen.
DER STEMPEL: Warum dein Router sich selbst anzeigen kann
Der spannendste Teil steht ganz unten in der Mitteilung — und er wird leicht überlesen. Nach dem Update prüft RouterOS selbst, ob dein Gerät kompromittiert wurde. Findet es Hinweise darauf, setzt es das Gerät auf den Status „Flagged“ und schreibt einen kritischen Eintrag ins Log.
Im Klartext: Das Update ist gleichzeitig ein Einbruchsdetektor. Es repariert nicht nur die Tür, sondern schaut auch nach, ob schon jemand drin war. Diesen Aufwand betreibt ein Hersteller nicht bei einer theoretischen Lücke — sondern dann, wenn er damit rechnet, dass Geräte tatsächlich übernommen wurden.
Steht bei dir „Flagged“ im Log, folgst du der Anleitung aus MikroTiks Dokumentation zum Flagged-Status. Und selbst wenn dort nichts steht, gilt der zweite Rat aus der Mitteilung: Schau dir deine Konfiguration an. Unbekannte Skripte, fremde Benutzer, seltsame Scheduler-Einträge — alles, was du nicht selbst angelegt hast, gehört überprüft.
SO UPDATEST DU IN DREI MINUTEN
Der einfachste Weg führt über WinBox oder das WebFig-Interface:
- System → Packages → Check For Updates öffnen.
- Den passenden Kanal wählen. Fährst du 7.24.x, bleib bei stable. Fährst du 7.23.x, nimm long-term.
- Auf Download & Install klicken. Der Router startet neu.
- Nach dem Neustart System → Log öffnen und nach kritischen Einträgen suchen.
- Danach unter System → Users und System → Scripts gegenprüfen, ob dort etwas steht, das du nicht kennst.
Wichtig: Wenn du auf RouterOS 6 hängst, prüfe vorher, ob dein Board überhaupt RouterOS 7 kann. Falls nicht, ist 6.49.21 dein Ziel — nicht der Sprung auf die 7er-Reihe.
EXTRA-TIPP: Die Hausaufgabe, die MikroTik nicht erwähnt
Egal wie diese Lücke am Ende aussieht: Ein Router, dessen Verwaltungsoberfläche aus dem Internet erreichbar ist, verliert jedes Wettrennen um Patches. Schließe WinBox, SSH und das Webinterface an der WAN-Schnittstelle ab und erreiche sie nur noch aus dem lokalen Netz oder über einen VPN-Tunnel. Dann kostet dich der nächste Notfall-Patch Ruhe statt Nerven.
Und wenn du ohnehin gerade in der Konfiguration bist: Deaktiviere Dienste, die du nie benutzt. Jeder abgeschaltete Dienst ist eine Lücke weniger, die dich in Zukunft überhaupt betreffen kann.
FAZIT: Kurze Meldung, klare Aufgabe
MikroTik gibt dir bewusst einen Vorsprung. Nutze ihn heute — das Update dauert wenige Minuten, die Prüfung danach noch einmal so lange. Wenn die Details irgendwann nachgereicht werden, willst du derjenige sein, der das schon abgehakt hat.