- מתקפת MikroTrick מקשרת יחד פגיעויות SSH קריטיות כדי לעקוף אימות ולהעלות הרשאות לרמת הבסיס.
- ניצול פעיל משפיע על התקני RouterOS החשופים לאינטרנט, ומאפשר שליטה מלאה ללא צורך בסיסמאות.
- תיקון מלא דורש עדכון המערכת, סגירת פורטים לניהול ציבורי וביצוע ביקורת עקשנות יסודית.
אם יש לכם נתב MikroTik בבית או בעסק שלכם, אולי יעניין אתכם לדעת שהונפקה התרעה אדומה חמורה. חוקרים חשפו פגיעות בשם MikroTrick , שהיא למעשה שילוב של פגמי אבטחה המאפשרים לגורמים זדוניים לגשת למכשיר שלכם ללא אישור או סיסמה. גרוע מכך, אם שירות ה-SSH שלכם פתוח, התוקף יכול להשתלט לחלוטין על המכשיר, ולהפוך את השער שלכם למרכז ריגול אחר כל מה שנכנס ויוצא מהרשת שלכם.
בעיה זו אינה רק תרגיל תיאורטי; היא מנוצלת במצבים אמיתיים . הסיכון הוא קריטי מכיוון שמי ששולט בנתב שולט בתעבורה, יכול לשנות נתיבי DNS כדי להפנות אותך לאתרים מזויפים, או ליצור דלתות אחוריות כדי לחדור למחשבים ולשרתים הפנימיים שלך. שימוש בסיסמה ארוכה ומורכבת אינו מספיק, שכן הפגם טמון במערכת האימות עצמה. משמעות הדבר היא שהמנעול שבור , והאקר יכול לקבל גישה פשוט על ידי מניפולציה של החיבור.
האנטומיה של מתקפת MikroTrick
כדי להבין איך זה עובד, חשוב לדעת ש-MikroTrick אינו באג בודד, אלא שרשרת של פגיעויות. החלק הראשון בפאזל הוא CVE-2026-67279 . בדרך כלל, כשמתחברים דרך SSH, יש תהליך אימות קפדני, אך פגם זה מתרחש במהלך יצירת מפתחות מחדש. תוקף יכול לאלץ את התהליך הזה כך שהנתב יעקוף את בדיקת הזהות ויאפשר לו להמשיך לשלב שורת הפקודה מבלי להזין סיסמה.
אבל קבלת גישה היא רק ההתחלה; המכה האמיתית מגיעה עם CVE-2026-86060 . כאן הפורץ מגדיל את ההרשאות. מערכת ההתחברות של RouterOS אינה מסננת כראוי שמות משתמש. אם ההאקר שולח מחרוזת שמתחילה במקף, ובפרט את הערך -2 , המכשיר מתבלבל וקורא את ההרשאות מערוץ פנימי הנשלט על ידי התוקף. לפיכך, המערכת מעניקה להם זכויות מנהל מלאות יש מאין, ומאפשרת להם לעשות מה שהם רוצים עם המכשיר.
פרצות אבטחה נוספות שהתגלו
למרות ש-MikroTrick הוא המוקד העיקרי, ישנן פגיעויות נוספות שמדאיגות באמת. לדוגמה, CVE-2026-67276 משפיע על מפתחות RSA; תוקף שיודע את המודול של מפתח מורשה יכול לזייף חתימה באמצעות אקספוננט השווה לאחד כדי להערים על המערכת ולהתחבר כמשתמש לגיטימי.
מצד שני, קיימת פגיעות WebFig (CVE-2026-67281) , שבה פגם בפרוקסי של JavaScript מאפשר למישהו שאפילו לא אומת לקרוא קבצי מערכת רגישים , כולל תצורות שעשויות להכיל מפתחות סודיים. כמו כן, זוהתה פגיעות בכלי בדיקת רוחב הפס (CVE-2026-67277) שעלולה לגרום לנתב לאתחל את עצמו או לדליפת זיכרון ליבה, ופגם באימות אישור X.509 (CVE-2026-67278) המאפשר התחזות לשרת מרוחק אם הנתב יוזם חיבורי TLS ברשתות לא מאובטחות.
איך לדעת אם הוטעיתם
אם אתם חושדים שהנתב שלכם נפרץ, אל תפעילו אותו מחדש באופן אקראי, מכיוון שהיומנים נשמרים בזיכרון ואתם עלולים למחוק את הראיות. הדבר הראשון שצריך לעשות הוא לבדוק את היומנים עבור המשתמש -2 או ניסיונות התחברות מכתובות IP חשודות כמו 82.192.72.4 או 103.102.31.18 . סימן ברור נוסף הוא מציאת משתמש בשם "ops" עם הרשאות מלאות שלא אתם יצרתם.
MikroTik הטמיעה תכונה בשם מסומןאם לאחר עדכון המערכת תפעילו את הפקודה /system device-mode print ואתה רואה שהמדינה היא כןמשמעות הדבר היא שהנתב זיהה עקבות של שינויים חשודים. היזהר, אם זה מופיע לא זה גם לא אומר שאתה נקי ב-100%, מכיוון שהמערכת מזהה רק דפוסים ידועים, אבל הסטטוס 'כן' הוא כמעט אישור ודאי לכך. מישהו הסתובב.
תוכנית חירום: תיקון ואבטחת הציוד
הפתרון המיידי הוא לעדכן את RouterOS. בהתאם לסניף שלכם, עליכם לשדרג לגרסה 6.49.21, 7.23.4, 7.23.5 או 7.24.2 , בהתאם. אך שימו לב שעדכון התוכנה הוא כמו התקנת מנעול חדש על דלת שכבר נפרצה: ייתכן שההאקר השאיר עותק של המפתח. לכן חיוני לבדוק את התצורה, לחפש סקריפטים יוצאי דופן, משימות מתוזמנות במתזמן או מנהרות VPN שאינכם מזהים.
כדי למנוע זאת שוב, כלל הזהב הוא להסיר את SSH מהאינטרנט . אם אינכם זקוקים לו, השבתו אותו. אם זה חיוני, הגבילו אותו לכתובת IP ספציפית או לרשת ניהול. אותו הדבר חל על WebFig; השבתו את HTTP והשאירו HTTPS רק למנהלי מערכת. ניסיון מופתי הוא להגדיר VPN עם WireGuard ולנהל את הנתב רק דרך מנהרה זו, תוך שמירה על כל פורטי הניהול סגורים לעולם החיצון.
אמצעי הקשחה מתקדמים
עבור אלו המעוניינים להשתפר באבטחה, אנו ממליצים להשתמש ברשימות כתובות בחומת האש שלכם . צרו רשימה בשם MGMT-TRUSTED עם כתובות ה-IP המאובטחות שלכם והגדירו את חומת האש כך שתקבל רק חיבורים בפורטים לניהול מקבוצה זו, תוך חסימת כל דבר אחר בממשק ה-WAN. אל תשכחו לעשות את אותו הדבר עבור IPv6 , שם אנשים רבים עושים טעויות ומשאירים את הדלת פתוחה תוך כדי סגירת הדלת עבור IPv4.
מומלץ מאוד גם להשבית את שרת בדיקות רוחב הפס ולהגביל את הגישה לשכבה 2 על ידי כיבוי MAC-Telnet ו-MAC-WinBox בממשקים שאינם ניהוליים. לבסוף, הגישה המקצועית ביותר היא לרכז יומני רישום בשרת חיצוני (Syslog) כך שגם אם תוקף מוחק עקבות בנתב, עדיין יהיה לך תיעוד של מה שקרה בשרת הניטור שלך.
כדי לשמור על אבטחת הרשת, חיוני לשלב עדכוני קושחה מיידיים עם צמצום דרסטי של משטח ההתקפה, ביטול כל שירותי ניהול החשופים לאינטרנט וניטור אינדיקטורים לפגיעה כגון משתמש התפעול או הסטטוס המסומן. אבטחה אמיתית אינה מסתמכת על תיקון בודד, אלא על אסטרטגיית הגנה מעמיקה הכוללת פילוח VPN, ביקורות תצורה מתמידות ושימוש בחומות אש קפדניות עבור IPv4 ו-IPv6 כאחד.