Im Routerregal schlägt ein Hammer auf eine kleine Login-Klappe. Nicht dramatisch genug für Filmlicht, aber genau richtig für die Sorte Sicherheitsmeldung, bei der später jemand sagt: „Das war doch nur der API-Port.“ Ja. Der API-Port. Die Tür, an der Maschinen gern höflich tun, bis jemand mit einem Sack voller Schlüssel kommt.
CISA hat am 28. Juli 2026 die ICS-Warnung ICSA-26-209-05 zu MikroTik RouterOS und Cloud Hosted Router veröffentlicht. Im Kern geht es um CVE-2026-16347: Die API-Authentifizierung bremst zu viele fehlgeschlagene Anmeldeversuche nicht wirksam genug. Rate-Limit, Account-Lockout oder quellbasierte Einschränkungen fehlen laut Beschreibung in einer Weise, die wiederholte Versuche weiterlaufen lässt.
Wenn die Verzögerungsfeder nur Dekoration ist
Besonders blechern ist der kleine Satz zur Verzögerung: In manchen Versionen gebe es zwar eine feste Verzögerung pro Verbindung, sie könne aber durch parallele Sitzungen umgangen werden. In Werkstattsprache: Der Türsteher zählt brav an einem Eingang, während nebenan fünf Kabelschächte dieselben Schlüssel auf das Band werfen.
Das ist keine Zauberlücke, die aus dem Internet per Fernbedienung jedes Gerät knackt. CISA schreibt auch: Keine bekannte öffentliche Ausnutzung speziell gegen diese Schwachstelle sei gemeldet, und die Schwachstelle sei nicht remote ausnutzbar. Trotzdem landet der Fall bei CVSS 3.1: 8.8 High und CVSS 4.0: 8.7 High. Warum? Weil ein erfolgreicher Angriff am Ende gültige Zugangsdaten und damit unbefugten Zugriff auf administrative Dienste bedeuten kann.
Alle Versionen stehen auf der Prüfwalze
Die betroffenen Produkte führt CISA breit: RouterOS vers:all/* und MikroTik Cloud Hosted Router vers:all/*. Das ist die Art Sternchen, bei der der Wartungsplan kurz den Kaffee abstellt. Der zugehörige Schwachstellentyp ist CWE-307, also unzureichende Begrenzung übermäßiger Authentifizierungsversuche.
Noch unangenehmer: Laut CISA ist derzeit kein Fix von MikroTik verfügbar. Damit wird aus „Patch einspielen und weiterschrauben“ vorerst „Managementkante sauber wegstellen“. CISA nennt als Maßnahmen unter anderem zusätzliche Schutzschichten wie VPN, Zugriff auf Managementdienste aus nicht vertrauenswürdigen Netzen beschränken, Firewall-Regeln setzen und lange, zufällig generierte Passwörter verwenden.
Der Router ist kein Klingelschild
Für kleine Büros, Werkhallen, Dienstleister und Cloud-Router-Bastelplätze ist das die eigentliche Lektion: Managementschnittstellen sind keine Klingelschilder. Sie gehören nicht in den Wind, nur weil sie leise blinken. Wer API-Zugänge offen lässt und sich auf schwache Bremsfedern verlässt, baut dem Rate-Limit-Problem eine Zufahrtsrampe.
Also: Dienste prüfen, Managementzugänge eng ziehen, VPN nicht als Dekoration verstehen, Passwörter nicht aus der Schraubenkiste nehmen. Und falls der Login-Hammer im Monitoring plötzlich rhythmisch wird: nicht mitklopfen. Abschalten, eingrenzen, nachsehen. Die Blechpresse kann viel Lärm vertragen. Routerverwaltungen eher nicht.