RutOS-Sicherheitsupdates: 9 CVEs gepatcht, Post-Quantum-IPsec kommt

Ein RutOS Sicherheitsupdate ist keine lästige Pflichtübung, sondern einer der wirksamsten Hebel, die Sie als Security-Verantwortlicher haben: Mobilfunkrouter und Gateways stehen am äußersten Rand des Netzwerks — direkt am Internet, häufig an Standorten ohne IT-Personal und nicht selten mit Durchgriff auf industrielle Anlagen. Teltonika hat mit den Releases 7.24 (08.07.2026), 7.24.1 (20.07.2026) und 7.24.2 (13.08.2026) innerhalb weniger Wochen eine dichte Update-Folge veröffentlicht, die aus Sicherheitssicht einiges bewegt.

Dieser Beitrag nimmt gezielt die Sicherheitsperspektive ein: Welche CVEs wurden gepatcht, welche Systemkomponenten aktualisiert — und was steckt hinter dem Post-Quantum-Schlüsselaustausch für IPsec? Einen vollständigen Funktionsüberblick über alle drei Releases finden Sie im Serien-Beitrag RutOS 7.24, 7.24.1 & 7.24.2 im Überblick, die Grundlagen erklärt Was ist RutOS?. Weitere Beiträge rund um die Marke sammeln wir in der Blog-Kategorie Teltonika.

Ein kompromittierter Router ist für Angreifer selten das Endziel — er ist der Brückenkopf. Wer die Kontrolle über das Gateway am Netzwerkrand übernimmt, kann Datenverkehr mitlesen oder umleiten, VPN-Tunnel missbrauchen und sich von dort in interne Systeme vorarbeiten. Drei Eigenschaften machen Router-Firmware dabei zu einem strukturell attraktiven Ziel:

• Exponierte Lage: Router und Gateways sind per Definition aus unvertrauenswürdigen Netzen erreichbar — im Mobilfunk-Einsatz oft ohne vorgelagerte Schutzschicht.
• Lange Laufzeiten: Industriegeräte laufen Jahre, teils Jahrzehnte. Ohne gepflegten Update-Prozess wächst der Rückstand auf den aktuellen Sicherheitsstand mit jedem Monat.
• Wenig Sichtbarkeit: Die Geräte stehen in Schaltschränken, Fahrzeugen und an Außenstandorten — dort, wo kein Administrator regelmäßig vorbeischaut und kein Endpoint-Agent läuft.

Hinzu kommt: Wer in regulierten Branchen arbeitet, muss Patch-Prozesse zunehmend dokumentieren und gegenüber Auditoren begründen können. Ein Hersteller, der Schwachstellen transparent im Changelog ausweist und in kurzen Zyklen patcht, liefert dafür die notwendige Grundlage. Teltonika dokumentiert seine Releases öffentlich auf den Firmware-Seiten des Hersteller-Wikis — inklusive CVE-Listen mit Schweregraden. Dass diese Pflege kontinuierlich läuft, zeigt der Blick zurück: Schon zu RutOS 7.07 haben wir an dieser Stelle über Funktions- und Dienstverbesserungen berichtet.

Das Feature-Release RutOS 7.24 vom 08.07.2026 schließt neun CVEs, davon vier mit hohem Schweregrad (Score ≥ 7,0). Die vollständige Liste (Angaben laut Teltonika-Changelog):

• CVE-2026-31431 — Score 7,8 (HIGH)
• CVE-2026-5720 — Score 7,1 (HIGH)
• CVE-2026-40385 — Score 7,1 (HIGH)
• CVE-2026-40386 — Score 7,1 (HIGH)
• CVE-2026-0990 — Score 5,9 (MEDIUM)
• CVE-2025-14282 — Score 5,4 (MEDIUM)
• CVE-2026-0989 — Score 3,7 (LOW)
• CVE-2026-4519 — Score 3,3 (LOW)
• CVE-2026-0992 — Score 2,9 (LOW)

Die Liste ist auf den Changelog-Seiten von RUTX50 und RUT956 identisch dokumentiert. Die Schweregrade geben wir so wieder, wie Teltonika sie veröffentlicht — eine Gegenprüfung gegen die NVD haben wir nicht vorgenommen. Vier Schwachstellen mit einem Score von 7,1 oder höher in einem einzigen Release sind ein klares Signal: Flotten, die noch auf älteren Firmware-Ständen laufen, sollten das Update priorisieren — unabhängig davon, ob die neuen Funktionen des Releases gebraucht werden.

Maßgebliche Quelle für Ihre eigene Bewertung sind die Changelog-Abschnitte der jeweiligen Geräteseite im Teltonika-Wiki, etwa die Seite RUTX50 Firmware Downloads. Beachten Sie, dass Teltonika Changelogs pro Gerätefamilie pflegt — prüfen Sie also die Seite Ihres konkreten Modells.

Neben den CVE-Patches aktualisiert 7.24 sicherheitsrelevante Systemkomponenten und räumt an mehreren Stellen auf (alle Angaben laut RUTX50-Changelog):

• dropbear 2025.89: Der SSH-Server wird auf einen aktuellen Stand gehoben — für Geräte, die remote administriert werden, eine der wichtigsten Einzelkomponenten.
• SQLite 3.50.4: Die eingebettete Datenbank wird aktualisiert.
• Aktualisierte Krypto-Vorgaben: Die Standard-Krypto-Proposals für IPsec und DMVPN wurden überarbeitet.
• Zentrale Zertifikatsverwaltung: Zertifikate des MQTT Modbus Gateways und von Modbus Over IP wandern in den globalen Zertifikatsmanager — weniger verstreute Ablagen, bessere Kontrolle über Laufzeiten.
• Verschlüsselter Datenexport: Data to Server unterstützt jetzt SFTP und FTPS als Ausgabekanäle, bei SFTP inklusive Strict-Host-Key-Checking. Telemetrie- und Messdaten verlassen das Gerät damit verschlüsselt.

Auch unter den Fehlerkorrekturen finden sich sicherheitsrelevante Einträge: 2FA-Einmalpasswörter werden nach erfolgreicher Authentifizierung korrekt invalidiert, der NTP-Client prüft eingehende Pakete auf eine Mindestgröße von 48 Bytes, und die IEEE-802.11r-Validierung für nicht unterstützte Verschlüsselungsmodi wurde korrigiert.

Das Zwischenrelease 7.24.1 vom 20.07.2026 ist dagegen primär ein Qualitäts- und Stabilitätsupdate — unter anderem mit iperf und stress-ng im Package Manager sowie Pflege der APN-Datenbank. Einen eigenen CVE-Abschnitt weist der RUTX50-Changelog für 7.24.1 nicht aus. Wichtig ist das Release trotzdem: 7.24.1 ist Stand 28.08.2026 die von Teltonika als „Stable“ geführte Firmware — dazu gleich mehr.

Mit dem Wartungsrelease 7.24.2 vom 13.08.2026 zieht Teltonika die Sicherheitsschraube weiter an. Der auffälligste Eintrag: ML-KEM Post-Quantum-Schlüsselaustausch für IPsec, umgesetzt über die Aktualisierung von strongSwan auf Version 6.0.7.

Warum Post-Quantum-Kryptografie schon heute relevant ist, lässt sich in einem Stichwort zusammenfassen: „Harvest now, decrypt later“. Angreifer können verschlüsselten Datenverkehr bereits jetzt aufzeichnen, um ihn später zu entschlüsseln, sobald leistungsfähige Quantencomputer verfügbar sind. Ein quantenresistenter Schlüsselaustausch wie ML-KEM adressiert genau dieses Szenario — je langlebiger die übertragenen Daten, desto früher lohnt der Umstieg. Dass diese Technologie nun in Industrie-Routern ankommt, ist bemerkenswert: Site-to-Site-VPNs zwischen Außenstandorten und Zentrale gehören zu den Verbindungen, die oft über Jahre unverändert laufen.

Daneben härtet 7.24.2 die lokale Authentifizierung deutlich:

• PAM-Account-Lockout: Nach wiederholten Fehlversuchen wird das lokale Konto gesperrt — ein wirksamer Riegel gegen Brute-Force-Angriffe.
• Passwort-Historie: Die Passwort-Richtlinie kann jetzt die Wiederverwendung früherer Passwörter unterbinden.
• NTP-Authentifizierung: ntpd unterstützt authentifizierte Zeitquellen — relevant, weil eine manipulierte Systemzeit Zertifikatsprüfungen und Log-Forensik untergraben kann.
• Firewall-Verbindungslimits: Die Firewall unterstützt jetzt Limits für Verbindungen pro Port.

Auch der Krypto- und Protokoll-Unterbau wird aktualisiert: OpenSSL 3.5.7, freeradius3 3.2.8, wireless-regdb 2026.05.30 und open62541 (OPC UA) 1.4.18. Dazu kommen zwei weitere CVE-Fixes — CVE-2026-16455 (Score 6,9, MEDIUM) und CVE-2026-18368 (Score 5,0, MEDIUM) — sowie ein sicherheitsrelevanter Bugfix: Der SSH-Server lauschte zuvor nicht auf IPv6-Adressen (Angaben laut Teltonika-Changelog).

Abseits der Security bringt 7.24.2 unter anderem OSPFv3 für dynamisches Routing über IPv6 und die automatische Anlage von DHCPv6-Servern für WAN-Schnittstellen — die Details dazu stehen im Überblicks-Beitrag zur 7.24-Serie.

Teltonika fährt ein zweistufiges Release-Modell, das Sie für Ihre Patch-Strategie nutzen sollten. Das Stable-Release ist die durch interne QA und breite Praxis-Deployments abgesicherte Firmware — aktuell ist das 7.24.1. Das Latest-Release — aktuell 7.24.2 — hat die internen Tests durchlaufen, aber laut Teltonika „noch keine breite Verteilung oder Nutzervalidierung“ hinter sich und kann „noch unentdeckte Probleme enthalten“; der Hersteller empfiehlt ausdrücklich, es „zunächst auf einer kleinen Anzahl von Geräten zu testen“ (sinngemäß übersetzt von der RUTX50-Firmware-Seite).

Daraus ergibt sich für Flottenbetreiber ein klares Vorgehen:

1. Inventarisieren: Welche Gerätefamilien und Firmware-Stände sind im Feld? Ohne aktuelle Bestandsliste gibt es keine belastbare Priorisierung.
2. Flotte auf 7.24.1 konsolidieren: Damit stehen Sie auf dem Stable-Tier — einem Versionsstand, der als Punkt-Release auf dem Feature-Release 7.24 mit seinen CVE-Patches aufsetzt.
3. 7.24.2 pilotieren: Eine kleine, repräsentative Pilotgruppe — bevorzugt dort, wo IPsec-Tunnel mit langlebigen Daten laufen und ML-KEM den größten Mehrwert bringt.
4. Zentral ausrollen: Für verteilte Flotten empfiehlt sich der Rollout über Teltonikas Remote Management System (RMS) statt über manuelle Einzelzugriffe.

Zwei Einschränkungen sollten Sie einplanen (Stand 28.08.2026, laut Teltonika-Wiki): Für die RUT9xx-Familie (u. a. RUT951, RUT956) ist bislang nur 7.24 gelistet — 7.24.1 und 7.24.2 stehen dort noch nicht bereit. Und die TAP-Access-Points (TAP100/200/400) fehlen in der 7.24.2-Geräteliste. Ob und wann diese Familien die Punkt-Releases erhalten, ist nicht dokumentiert; maßgeblich ist die Seite Product Firmware Updates im Teltonika-Wiki.

Praxistipp: Definieren Sie den Pilotzeitraum vorab — etwa zwei Wochen mit klaren Abbruchkriterien — und beobachten Sie dabei gezielt VPN-Stabilität und Authentifizierungsverhalten, also genau die Bereiche, an denen 7.24.2 ansetzt. Erst danach folgt der Rollout in die Breite.

Ascend vertreibt Teltonika und liefert Hardware und RMS-Lizenzen aus einer Hand — von der Geräteauswahl über die Teltonika-Router-Übersicht bis zur Lizenzbeschaffung für das zentrale Patch-Management.

Die 7.24-Serie zeigt ein Muster, das Security-Verantwortliche gerne sehen: ein Feature-Release, das neun CVEs schließt (davon vier HIGH, Angaben laut Teltonika-Changelog), ein Stabilitätsupdate, das kurz darauf zur Stable-Firmware reift, und ein Wartungsrelease, das mit ML-KEM Post-Quantum-IPsec, PAM-Account-Lockout, Passwort-Historie und NTP-Authentifizierung gezielt härtet. Wer seine Teltonika-Flotte auf 7.24.1 konsolidiert und 7.24.2 strukturiert pilotiert, reduziert die Angriffsfläche — und stellt beim Thema Post-Quantum-Kryptografie früh die Weichen.

Sprechen Sie mit uns: Wenn Sie Unterstützung bei der Bewertung der Updates, bei der Geräteauswahl oder bei RMS-Lizenzen für das zentrale Patch-Management brauchen, sind wir für Sie da. Ascend vertreibt Teltonika — lieferbare Router und Gateways finden Sie auf der Teltonika-Markenseite im Ascend-Shop, einen Überblick über die Produktwelt auf unserer Teltonika-Router-Seite.

Dieser Artikel wurde mit KI-Unterstützung recherchiert und verfasst und vor der Veröffentlichung von Ascend geprüft.