- يقوم هجوم MikroTrick بربط ثغرات SSH الحرجة معًا لتجاوز المصادقة وتصعيد الامتيازات إلى مستوى الجذر.
- يؤثر الاستغلال النشط على أجهزة RouterOS المعرضة للإنترنت، مما يسمح بالتحكم الكامل دون الحاجة إلى كلمات مرور.
- يتطلب الإصلاح الكامل تحديث النظام، وإغلاق منافذ الإدارة العامة، وإجراء تدقيق شامل للاستمرارية.
إذا كنت تستخدم جهاز توجيه MikroTik في منزلك أو مكان عملك، فقد يهمك معرفة أنه تم إصدار تنبيه خطير. فقد اكتشف الباحثون ثغرة أمنية تُسمى MikroTrick ، وهي عبارة عن مجموعة من الثغرات الأمنية التي تسمح للمهاجمين بالوصول إلى جهازك دون إذن أو كلمة مرور. والأسوأ من ذلك، أنه إذا كانت خدمة SSH الخاصة بك مفتوحة، فسيتمكن المهاجم من السيطرة الكاملة على الجهاز، وتحويل بوابتك إلى مركز تجسس على كل ما يدخل ويخرج من شبكتك.
لا تقتصر هذه المشكلة على مجرد تمرين نظري، بل تُستغل في الواقع العملي . يكمن الخطر في أن من يتحكم بجهاز التوجيه يتحكم بحركة البيانات، ويمكنه تغيير مسارات نظام أسماء النطاقات (DNS) لإعادة توجيهك إلى مواقع ويب مزيفة، أو إنشاء ثغرات خلفية لاختراق أجهزة الكمبيوتر والخوادم الداخلية. لا يكفي استخدام كلمة مرور طويلة ومعقدة، فالثغرة تكمن في نظام المصادقة نفسه. هذا يعني أن القفل قد كُسر ، ويمكن للمخترق الوصول بسهولة عن طريق التلاعب بالاتصال.
تشريح هجوم MikroTrick
لفهم كيفية عمل ذلك، من المهم معرفة أن MikroTrick ليس خطأً برمجيًا واحدًا، بل سلسلة من الثغرات الأمنية. أولى هذه الثغرات هي CVE-2026-67279 . عادةً، عند الاتصال عبر SSH، توجد عملية مصادقة صارمة، لكن هذا الخلل يحدث أثناء إعادة إنشاء المفتاح. يستطيع المهاجم إجبار هذه العملية على تجاوز فحص الهوية ، مما يسمح له بالوصول إلى مرحلة سطر الأوامر دون إدخال كلمة مرور.
لكن الوصول ليس سوى البداية؛ فالضربة القاضية تكمن في ثغرة CVE-2026-86060 . هنا يستغل المتسلل هذه الثغرة لرفع مستوى صلاحياته. نظام تسجيل الدخول في RouterOS لا يُصفّي أسماء المستخدمين بشكل صحيح. إذا أرسل المخترق سلسلة نصية تبدأ بشرطة، وتحديدًا القيمة -2 ، فإن الجهاز يُصاب بالتشويش ويقرأ الصلاحيات من قناة داخلية يتحكم بها المهاجم. وبالتالي، يمنحه النظام صلاحيات مدير النظام الكاملة دون أي اعتبار، مما يسمح له بالتحكم بالجهاز كيفما يشاء.
تم رصد ثغرات أمنية أخرى
على الرغم من أن MikroTrick هو محور التركيز الرئيسي، إلا أن هناك ثغرات أخرى مثيرة للقلق حقًا. على سبيل المثال، تؤثر الثغرة CVE-2026-67276 على مفاتيح RSA؛ إذ يمكن للمهاجم الذي يعرف معامل المفتاح المعتمد تزوير توقيع باستخدام أس يساوي واحدًا لخداع النظام وتسجيل الدخول كمستخدم شرعي.
من جهة أخرى، هناك ثغرة WebFig (CVE-2026-67281) ، حيث يسمح خلل في وكيل JavaScript لشخص لم يُصادق على هويته بقراءة ملفات النظام الحساسة ، بما في ذلك الإعدادات التي قد تحتوي على مفاتيح سرية. كما تم اكتشاف ثغرة في أداة اختبار النطاق الترددي (CVE-2026-67277) قد تتسبب في إعادة تشغيل جهاز التوجيه أو تسريب ذاكرة النواة، بالإضافة إلى خلل في التحقق من صحة شهادة X.509 (CVE-2026-67278) يسمح بانتحال هوية الخادم عن بُعد إذا بدأ جهاز التوجيه اتصالات TLS على شبكات غير آمنة.
كيف تعرف أنك تعرضت للاحتيال؟
إذا كنت تشك في اختراق جهاز التوجيه الخاص بك، فلا تقم بإعادة تشغيله بشكل عشوائي، لأن سجلات النظام مخزنة في الذاكرة وقد يؤدي ذلك إلى مسح الأدلة. أول ما عليك فعله هو التحقق من سجلات النظام بحثًا عن المستخدم -2 أو محاولات تسجيل دخول من عناوين IP مشبوهة مثل 82.192.72.4 أو 103.102.31.18 . ومن العلامات الواضحة الأخرى وجود مستخدم باسم "ops" يتمتع بصلاحيات كاملة لم تقم بإنشائه.
قامت شركة MikroTik بتطبيق ميزة تسمى ترفع علمإذا قمت بتشغيل الأمر بعد تحديث النظام /system device-mode print وترى أن الدولة نعم هذا يعني أن جهاز التوجيه قد رصد آثار تعديلات مشبوهة. كن حذرًا إذا ظهر ذلك. لا هذا لا يعني أيضاً أنك نظيف بنسبة 100%، لأن النظام لا يكتشف إلا الأنماط المعروفة، لكن حالة "نعم" هي تأكيد شبه مؤكد على ذلك. يبدو أن أحدهم كان يتجسس..
خطة الطوارئ: إصلاح وتأمين المعدات
الحل الفوري هو تحديث RouterOS. بناءً على فرعك، يجب الترقية إلى الإصدار 6.49.21 أو 7.23.4 أو 7.23.5 أو 7.24.2 ، حسب الحاجة. لكن انتبه، فعملية تحديث البرنامج أشبه بوضع قفل جديد على باب تم فتحه بالقوة: فقد يكون المخترق قد ترك نسخة من المفتاح. لذا، من الضروري مراجعة الإعدادات بدقة، والبحث عن أي نصوص برمجية غير معتادة، أو مهام مجدولة في جدولة المهام، أو أنفاق VPN غير معروفة.
لتجنب تكرار هذا الأمر، القاعدة الذهبية هي إزالة SSH من الإنترنت . إذا لم تكن بحاجة إليه، فعطّله. وإذا كان ضروريًا، فاحصره بعنوان IP محدد أو شبكة إدارة. وينطبق الأمر نفسه على WebFig؛ عطّل HTTP واترك HTTPS للمسؤولين فقط. ومن الحلول المتقدمة إعداد VPN باستخدام WireGuard وإدارة الموجّه من خلال هذا النفق فقط، مع إبقاء جميع منافذ الإدارة مغلقة أمام العالم الخارجي.
إجراءات التحصين المتقدمة
لمن يرغبون في تعزيز أمان شبكتهم بشكل كامل، ننصح باستخدام قوائم عناوين IP في جدار الحماية . أنشئ قائمة باسم MGMT-TRUSTED تضم عناوين IP الآمنة، وقم بضبط جدار الحماية بحيث لا يقبل إلا الاتصالات على منافذ الإدارة من هذه المجموعة، مع حظر أي اتصالات أخرى على واجهة الشبكة الواسعة (WAN). لا تنسَ تطبيق نفس الإجراء على IPv6 ، حيث يقع الكثيرون في خطأ شائع يتمثل في ترك منفذ IPv4 مفتوحًا.
يُنصح بشدة أيضًا بتعطيل خادم اختبار النطاق الترددي وتقييد الوصول إلى الطبقة الثانية عن طريق إيقاف تشغيل MAC-Telnet وMAC-WinBox على الواجهات غير الإدارية. وأخيرًا، يُعدّ الأسلوب الأمثل هو مركزة السجلات على خادم خارجي (Syslog) بحيث حتى في حال قيام المهاجم بمسح آثاره على جهاز التوجيه، سيظل لديك سجل لما حدث على خادم المراقبة الخاص بك.
للحفاظ على أمان الشبكة، من الضروري الجمع بين تحديثات البرامج الثابتة الفورية وتقليص مساحة الهجوم بشكل جذري، وذلك بإلغاء أي خدمات إدارة مُعرَّضة للإنترنت ومراقبة مؤشرات الاختراق مثل حساب المستخدم المسؤول أو حالة التنبيه. لا يعتمد الأمان الحقيقي على تحديث واحد، بل على استراتيجية دفاعية متعددة الطبقات تشمل تجزئة الشبكة عبر VPN، ومراجعات مستمرة للتكوين، واستخدام جدران حماية صارمة لكل من IPv4 وIPv6.