Im Routerregal hängt ein alter Haken. Nicht groß, nicht laut, eher so ein unscheinbares Stück Verwaltungseisen, an dem früher mal ein Berechtigungsschild baumelte. Genau dort, sagt CISA sinngemäß, kann bei MikroTik RouterOS noch eine Sitzung kleben bleiben, obwohl ihr längst jemand die Befugnisse heruntergedreht hat.
Der Vorgang trägt die Nummer CVE-2026-14227 und klingt zunächst nach Büroklammer-Sicherheit: Insufficient Session Expiration, CWE-613. In der Werkstattübersetzung heißt das: Eine API-Sitzung mit RouterOS API kann nach Inaktivitäts-Timeouts oder Änderungen an Benutzergruppen alte Rechte weiter behalten. Ein Nutzer, dessen Berechtigungen eigentlich reduziert wurden, darf dann unter Umständen noch Informationen sehen, die nicht mehr zu seinem neuen Schraubenschlüssel passen.
Der Schlüssel liegt nicht im Tresor, sondern im Haken
Das Pikante daran ist nicht nur die Sitzung selbst. CISA fasst die mögliche Auswirkung deutlich zusammen: Erfolgreiche Ausnutzung könne es einem Angreifer erlauben, den WireGuard-Privatschlüssel des Routers im Klartext mit nur niedrig privilegiertem API-Zugriff auszulesen. Danach wird aus einem kleinen Rechteknirschen schnell ein VPN-Kostümverleih: Vollständige VPN-Impersonation und Entschlüsselung des zugehörigen Datenverkehrs stehen als Risiko im Advisory.
Betroffen ist laut CISA MikroTik RouterOS, in der CSAF-Datei als vers:all/* geführt, wenn die RouterOS API im Spiel ist. Die Schwachstelle ist als mittel eingestuft: CVSS 3.1 liegt bei 4,9, CVSS 4.0 bei 6,9. Mittel klingt beruhigend, bis man sich erinnert, dass ein privater VPN-Schlüssel nicht mittel aussieht, wenn er erst einmal auf der Werkbank liegt.
Rechte runterdrehen reicht nicht, wenn die Sitzung weiterqualmt
Die empfohlene Sofortmaßnahme ist entsprechend handfest: MikroTik empfiehlt Administratoren laut CISA, Nutzer vollständig auszuloggen, wenn deren Berechtigungen herabgestuft werden, damit die neue Policy tatsächlich greift. Das ist keine elegante Automatik, eher der alte Werkstattgriff: Maschine aus, Haken leer, neu anmelden. Aber manchmal ist genau das die einzige Bewegung, die dem Blech beibringt, dass gestern nicht mehr heute ist.
CISA ergänzt die üblichen ICS-Hinweise: Netzexposition minimieren, Kontrollsysteme und entfernte Geräte hinter Firewalls platzieren, von Geschäftsnetzen trennen und VPNs aktuell halten. Der letzte Punkt hat hier eine hübsch bittere Doppelkante: Der VPN-Zugang schützt nur so gut wie die Geräte, deren Schlüssel nicht aus Versehen im API-Flur hängen.
Keine bekannte Ausnutzung, trotzdem kein Deko-Loch
Zum Zeitpunkt der Veröffentlichung meldet CISA keine bekannte öffentliche Ausnutzung speziell gegen diese Schwachstelle. Das ist gut. Es ist aber kein Freifahrtschein für den Router, sich wieder hinzulegen. Wer RouterOS mit API-Zugriff betreibt, sollte prüfen, wo Berechtigungen geändert werden, welche Sessions danach leben dürfen und ob WireGuard-Konfigurationen nur so sichtbar sind, wie sie wirklich sichtbar sein sollen.
Die Blechpresse notiert: Session-Management ist keine Tapete. Es ist die Türangel am Maschinenraum. Wenn sie klemmt, sieht der Angriff nicht unbedingt spektakulär aus. Er nimmt bloß den alten Haken, zieht den Schlüssel herunter und geht durch den Tunnel, als hätte er schon immer dort gearbeitet.