CVE-2026-89035: MikroTik RouterOS, WebFig-Anmeldung umgehbar

Worum es geht

Ist Ihr MikroTik-Router von außen oder aus dem Firmennetz über die Weboberfläche erreichbar? Genau diese Frage sollten Sie jetzt klären. Die Lücke CVE-2026-89035 betrifft RouterOS, das Betriebssystem der MikroTik-Router. Betroffen ist die Weboberfläche WebFig, über die man den Router im Browser verwaltet.

Laut Beschreibung können Angreifer die Anmeldung umgehen, indem sie einen abgefangenen Sitzungstoken erneut verwenden. Ein Sitzungstoken ist eine Art digitaler Ausweis, den der Router nach der Anmeldung vergibt. Wer ihn besitzt, gilt als angemeldet. Als Schwachstellentyp ist CWE-613 genannt, also unzureichend begrenzte Gültigkeit einer Sitzung.

Die Beschreibung nennt RouterOS bis Version 7.24.5. Der Hersteller des Hinweises (VulnCheck) führt als betroffen RouterOS bis 7.23.6 sowie die Versionen 7.24.0 bis 7.24.5 auf.

Wie die Schwachstelle funktioniert

Der Router erzeugt die Token mit einer Funktion namens makeSessionKey. Sie verwendet feste Zusatzwerte und bezieht weder die konkrete Verbindung noch die einzelne Sitzung ein. Damit ist ein Token nicht an die Verbindung gebunden, in der er entstanden ist.

Der Benutzerdienst des Routers prüft den Token außerdem nur gegen den Speicher der Anmeldungen. Er prüft nicht, ob der Token über die richtige Verbindung kommt. Ein gestohlener Token funktioniert deshalb auch in einer neuen, verschlüsselten Sitzung.

Die Folge ist laut Beschreibung dauerhafter Administratorzugriff, bis der Token-Speicher ausdrücklich geleert wird. Ein Angreifer könnte dann Einstellungen lesen und ändern.

Die Lücke baut auf CVE-2025-61481 auf. Diese frühere Meldung beschrieb die zugrunde liegende Schwäche im Transportweg, ohne dass es dazu eine Korrektur gab.

Wo MikroTik im Mittelstand läuft

MikroTik-Router sind preisgünstig und flexibel. Man findet sie als Internetzugang in kleinen Betrieben, in Filialen, als Router an Außenstandorten und als WLAN- oder VPN-Gerät. Oft hat sie ein früherer Dienstleister oder ein Mitarbeiter mit Technikinteresse eingerichtet. Dann fehlt häufig eine Dokumentation, und niemand pflegt die Updates.

Gerade deshalb lohnt eine Bestandsaufnahme: Welche Geräte stehen im Einsatz, welche Version läuft darauf, und wer darf sie verwalten?

Wie Sie herausfinden, ob Sie betroffen sind

Melden Sie sich am Router an und lesen Sie die RouterOS-Version aus. Liegt sie bei 7.23.6 oder darunter, oder zwischen 7.24.0 und 7.24.5, fällt das Gerät in den genannten Bereich. Klären Sie danach, ob WebFig im Netzwerk oder sogar aus dem Internet erreichbar ist. Ihr IT-Dienstleister kann das für Sie prüfen.

Beachten Sie: Die Felder zu betroffenen und reparierten Produkten im Datensatz sind leer. Das heißt nicht, dass Ihr Gerät sicher ist. Es heißt nur, dass bisher keine Quelle eine Reparatur meldet.

Ein Angreifer braucht zuerst einen gültigen Token, also muss er eine Sitzung abfangen. Der Datensatz bewertet das als schwierig (Angriffskomplexität hoch). Ein Angriff ginge aber über das Netzwerk, ohne Anmeldung und ohne Zutun eines Nutzers.

Einordnung der Kennzahlen

Der Datensatz nennt einen CVSS-Wert von 7,4 (hoch). CVSS ist eine Skala von 0 bis 10 für die Schwere einer Lücke. Der Hinweis von VulnCheck nennt für die Version 4 des Verfahrens dagegen 9,1 (kritisch). Beide Werte zeigen: Vertraulichkeit und Integrität sind stark betroffen, die Verfügbarkeit nicht.

Der EPSS-Wert schätzt die Wahrscheinlichkeit eines Angriffs in den nächsten 30 Tagen auf 0,27 Prozent (Perzentil 19). Das ist niedrig im Vergleich zu anderen Lücken. In der Liste der aktiv ausgenutzten Lücken der US-Behörde CISA ist die Lücke nicht aufgeführt.

Welche Schritte wir empfehlen, steht im Block zur möglichen Lösung. Bei Inventur und Updates Ihrer Router kann ByePast Sie unterstützen.