- MikroTrick saldırısı, kimlik doğrulamasını atlatmak ve ayrıcalıkları root seviyesine yükseltmek için kritik SSH güvenlik açıklarını bir araya getiriyor.
- Aktif istismar, internete açık RouterOS cihazlarını etkileyerek parola gerektirmeden tam kontrol imkanı sağlıyor.
- Sorunun tamamen giderilmesi için sistemin güncellenmesi, halka açık yönetim portlarının kapatılması ve kapsamlı bir kalıcılık denetimi yapılması gerekmektedir.
Eğer evinizde veya iş yerinizde bir MikroTik yönlendiriciniz varsa, ciddi bir kırmızı alarm verildiğini bilmek ilginizi çekebilir. Araştırmacılar, MikroTrick adı verilen ve kötü niyetli kişilerin cihazınıza izinsiz veya şifresiz erişmesine olanak tanıyan bir güvenlik açığı keşfetti. En kötüsü de, SSH hizmetiniz açıksa, saldırgan cihazın tam kontrolünü ele geçirebilir ve ağ geçidinizi ağınıza giren ve çıkan her şeyi gözetlemek için merkezi bir merkez haline getirebilir.
Bu sorun sadece teorik bir egzersiz değil; gerçek dünya durumlarında istismar ediliyor . Risk kritik çünkü yönlendiriciyi kontrol eden kişi trafiği de kontrol ediyor, sizi sahte web sitelerine yönlendirmek için DNS rotalarını değiştirebiliyor veya bilgisayarlarınıza ve iç sunucularınıza sızmak için arka kapılar oluşturabiliyor. Uzun ve karmaşık bir parola kullanmak yeterli değil, çünkü kusur kimlik doğrulama sisteminin kendisinde yatıyor. Bu, kilidin kırıldığı ve bir bilgisayar korsanının bağlantıyı manipüle ederek erişim sağlayabileceği anlamına geliyor.
MikroTrick saldırısının anatomisi
Bunun nasıl çalıştığını anlamak için, MikroTrick'in tek bir hata değil, bir dizi güvenlik açığından oluştuğunu bilmek önemlidir. Bulmacanın ilk parçası CVE-2026-67279'dur . Normalde, SSH üzerinden bağlandığınızda sıkı bir kimlik doğrulama süreci vardır, ancak bu kusur anahtar yeniden oluşturma sırasında ortaya çıkar. Bir saldırgan bu süreci zorlayarak yönlendiricinin kimlik kontrolünü atlamasına ve parola girmeden komut satırı aşamasına geçmesine olanak tanır.
Ancak erişim sağlamak sadece başlangıç; asıl darbe CVE-2026-86060 ile geliyor . İşte burada saldırgan ayrıcalıklarını yükseltiyor. RouterOS'un oturum açma sistemi kullanıcı adlarını düzgün bir şekilde filtrelemiyor. Eğer bilgisayar korsanı tireyle başlayan bir dize, özellikle de -2 değerini gönderirse , cihaz karışıyor ve izinleri saldırgan tarafından kontrol edilen dahili bir kanaldan okuyor. Böylece sistem, saldırgana birdenbire tam yönetici hakları veriyor ve cihazla istediklerini yapmalarına olanak tanıyor.
Tespit edilen diğer güvenlik açıkları
MikroTrick ana odak noktası olsa da, gerçekten endişe verici başka güvenlik açıkları da mevcut. Örneğin, CVE-2026-67276, RSA anahtarlarını etkiliyor; yetkilendirilmiş bir anahtarın modülünü bilen bir saldırgan , sistemi kandırmak ve meşru bir kullanıcı olarak oturum açmak için üssü bire eşit olan bir imzayı taklit edebilir.
Öte yandan, JavaScript proxy'sindeki bir kusur nedeniyle kimlik doğrulaması yapmamış birinin bile gizli anahtarlar içerebilecek yapılandırmalar da dahil olmak üzere hassas sistem dosyalarını okuyabilmesine olanak tanıyan WebFig güvenlik açığı (CVE-2026-67281) bulunmaktadır. Ayrıca, yönlendiricinin kendini yeniden başlatmasına veya çekirdek belleğinin sızmasına neden olabilecek bandwidth-test aracında (CVE-2026-67277) ve yönlendirici güvenli olmayan ağlarda TLS bağlantıları başlattığında uzaktan sunucu kimliğine bürünmeye olanak tanıyan X.509 sertifika doğrulamasında (CVE-2026-67278) bir kusur tespit edilmiştir .
Dolandırıldığınızı nasıl anlarsınız?
Yönlendiricinizin güvenliğinin ihlal edildiğinden şüpheleniyorsanız, rastgele yeniden başlatmayın, çünkü kayıtlar bellekte saklanır ve kanıtları silebilirsiniz. Yapmanız gereken ilk şey, -2 kullanıcısını veya 82.192.72.4 veya 103.102.31.18 gibi şüpheli IP adreslerinden gelen oturum açma girişimlerini kayıtlarda kontrol etmektir. Bir diğer açık işaret ise , sizin oluşturmadığınız ve tam yetkilere sahip "ops" adlı bir kullanıcı bulmaktır .
MikroTik, "..." adı verilen bir özelliği uygulamaya koydu. İşaretlenmişSistemi güncelledikten sonra şu komutu çalıştırırsanız: /system device-mode print ve devletin şu olduğunu görüyorsunuz: EvetBu, yönlendiricinin şüpheli değişiklik izleri tespit ettiği anlamına gelir. Eğer bu uyarıyı görürseniz dikkatli olun. yok hayır Bu aynı zamanda %100 temiz olduğunuz anlamına da gelmez, çünkü sistem yalnızca bilinen kalıpları algılar, ancak 'evet' durumu neredeyse kesin bir teyittir. Birileri etrafta gizlice dolaşıyor..
Acil durum planı: Ekipmanı onarın ve sabitleyin.
Acil çözüm, RouterOS'u güncellemek. Kullandığınız sürüme bağlı olarak, uygun şekilde 6.49.21, 7.23.4, 7.23.5 veya 7.24.2 sürümlerine yükseltmeniz gerekir. Ancak yazılımı güncellemenin, zaten zorlanmış bir kapıya yeni bir kilit takmak gibi olduğunu unutmayın: Hacker anahtarın bir kopyasını bırakmış olabilir. Bu nedenle , yapılandırmayı denetlemek, olağandışı komut dosyaları, zamanlayıcıdaki zamanlanmış görevler veya tanımadığınız VPN tünelleri aramak çok önemlidir .
Bunun tekrar yaşanmasını önlemek için altın kural, SSH'yi internetten kaldırmaktır . İhtiyacınız yoksa devre dışı bırakın. Eğer gerekliyse, belirli bir IP adresine veya yönetim ağına kısıtlayın. Aynı şey WebFig için de geçerlidir; HTTP'yi devre dışı bırakın ve HTTPS'yi yalnızca yöneticiler için bırakın. En iyi çözüm, WireGuard ile bir VPN kurmak ve yönlendiriciyi yalnızca bu tünel üzerinden yönetmek, tüm yönetim portlarını dış dünyaya kapalı tutmaktır.
Gelişmiş sertleştirme önlemleri
Güvenliği en üst düzeye çıkarmak isteyenler için, güvenlik duvarınızda adres listeleri kullanmanızı öneririz. Güvenli IP adreslerinizle MGMT-TRUSTED adında bir liste oluşturun ve güvenlik duvarını yalnızca bu gruptaki yönetim portlarından gelen bağlantıları kabul edecek şekilde yapılandırın, WAN arayüzündeki diğer her şeyi engelleyin. Birçok kişinin hata yaptığı ve IPv4 için kapıyı kapatırken IPv6 için de aynı işlemi yapmayı unutmayın .
Ayrıca, bant genişliği test sunucusunu devre dışı bırakmanız ve yönetim dışı arayüzlerde MAC-Telnet ve MAC-WinBox'ı kapatarak Katman 2 erişimini kısıtlamanız şiddetle tavsiye edilir . Son olarak, en profesyonel yaklaşım, günlükleri harici bir sunucuda (Syslog) merkezileştirmektir ; böylece bir saldırgan yönlendiricideki izleri silse bile, izleme sunucunuzda neler olup bittiğine dair bir kaydınız olur.
Ağ güvenliğini sağlamak için, anlık aygıt yazılımı güncellemelerini saldırı yüzeyinin önemli ölçüde azaltılmasıyla birleştirmek, internete açık olan tüm yönetim hizmetlerini ortadan kaldırmak ve operasyon kullanıcısı veya işaretlenmiş durum gibi güvenlik ihlali göstergelerini izlemek şarttır . Gerçek güvenlik tek bir yamaya değil, VPN segmentasyonu, sürekli yapılandırma denetimleri ve hem IPv4 hem de IPv6 için sıkı güvenlik duvarlarının kullanımını içeren derinlemesine bir savunma stratejisine dayanır.