MikroTik מתקנת פרצות בנתבי RouterOS שכבר מנוצלות להשתלטות דרך SSH
MikroTik שחררה ב-3 בספטמבר עדכון לכל ערוצי RouterOS אחרי שתוקפים ניצלו חולשת SSH כדי להשתלט על נתבים. CERT Polska זיהתה שש חולשות, ושתיים מהן משתלבות להשתלטות מלאה בלי סיסמה.
TL;DR בקצרה
- שרשרת חולשות בשם MikroTrick מאפשרת להשתלט על נתב MikroTik ששירות ה-SSH שלו חשוף לאינטרנט, בלי שם משתמש וסיסמה.
- התקיפות נצפו לפחות מ-2 בספטמבר, ובנתבים שנפרצו נוצר משתמש מנהל בשם ops.
- לפי Shadowserver, יותר מ-122,500 מכשירי MikroTik חושפים SSH לאינטרנט.
- באוקטובר עדכנה MikroTik שתיקון אחד היה חלקי, ומי שעדכן בספטמבר ל-7.24.2 או 7.23.4 צריך לעדכן שוב.
MikroTik, יצרנית הנתבים הלטבית, פרסמה ב-3 בספטמבר ייעוץ אבטחה ועדכונים לכל ערוצי מערכת ההפעלה RouterOS. לפי החברה, תוקפים כבר ניצלו בפועל אחת החולשות, בשירות ה-SSH, כדי להשתלט על נתבים. יומיים אחר כך פרסם צוות התגובה הלאומי של פולין, CERT Polska, פרטים על שש חולשות. שתיים מהן משתלבות לשרשרת בשם MikroTrick, שמאפשרת השתלטות מלאה בלי סיסמה.
MikroTrick: מפתח ציבורי שמספיק כדי להיכנס
CERT Polska היא הצוות שגילה את הבעיות. בשרשרת MikroTrick החמורה בחולשות, CVE-2026-67276 בדירוג 9.2, יושבת במנגנון ההזדהות של SSH באמצעות מפתחות. לפי הצוות הפולני, RouterOS לא השווה את המפתח הציבורי במלואו.
לכן תוקף שיודע שם משתמש ואת החלק הציבורי של המפתח שלו יכול להתחבר. הוא לא צריך את המפתח הפרטי. חולשה שנייה היא CVE-2026-86060, גם היא בדירוג 9.2.
היא מאפשרת לקבל הרשאות ניהול מלאות באמצעות שם משתמש שמתחיל בתו אסור. חולשה שלישית בשירות בדיקת רוחב הפס (bandwidth test) עלולה לדלוף זיכרון או להפיל את הנתב.
התנאי לתקיפה הוא ששירות ה-SSH של הנתב נגיש מהאינטרנט. זו לא הגדרת ברירת המחדל. ב-CSO Online מצטטים סריקות של ארגון Shadowserver. לפי הסריקות, מעל 122,500 מכשירי MikroTik חושפים SSH לרשת, בעיקר בברזיל, בארצות הברית ובאינדונזיה.
נתבי MikroTik פופולריים בעסקים קטנים, אצל ספקי תקשורת ובקרב אנשי IT. במקרים רבים מישהו פותח את פורט הניהול כדי לאפשר תמיכה מרחוק, ואז שוכח אותו פתוח.
MikroTrick בשטח: משתמש בשם ops וסימן ״Flagged״
CERT Polska רשמה תקיפות שהצליחו מכתובת ה-IP 82.192.72.4 לפחות מ-2 בספטמבר. במהלכן נוצר בנתב משתמש עם הרשאות גבוהות בשם ops. ביומן המכשיר מופיעות שורות כמו כישלון התחברות של משתמש בשם -2 והוספת משתמש על ידי ssh:-2@.
ה-CERT הלאומי של לטביה דיווח שזיהה במדינה 12 נתבים שנפרצו ואלפי מכשירים חשופים. לדבריו, הוא התריע לבעליהם ולמפעילי תשתיות קריטיות כבר ב-3 בספטמבר.
MikroTik הוסיפה לגרסאות המתוקנות מנגנון בדיקה עצמית. בזמן עלייה, RouterOS סורק את ההגדרות ומחפש סימנים מוכרים לשינוי לא מורשה. אם הוא מוצא כאלה, הוא מנטרל את ההגדרות החשודות ומסמן את המכשיר כ-Flagged. הוא גם רושם הודעה קריטית ביומן. CERT Polska מזהירה שהמנגנון מזהה רק חלק מהעקבות, ולכן היעדר הסימון לא מוכיח שהנתב נקי.
הנתב הוא מכשיר שרוב הארגונים לא מנטרים. מי ששולט בו יכול לראות ולשנות את כל התעבורה שעוברת דרכו. הוא יכול גם לפתוח מנהרות לרשת הפנימית ולהשתמש בנתב כנקודת זינוק לתקיפות אחרות. בעסק קטן, נתב פרוץ עלול להיות הדלת לכל המחשבים והשרתים שמאחוריו.
מה זה אומר עבורכם
- עדכנו לגרסה מלאה: השתמשו ב-Check for updates בתפריט החבילות. היעד בערוץ היציב הוא 7.24.3 ומעלה. בערוץ לטווח ארוך היעד הוא 7.23.6 ומעלה. ב-RouterOS 6 היעד הוא 6.49.21 ומעלה. מי שעדכן בספטמבר ל-7.24.2 או 7.23.4 צריך לעדכן שוב.
- סגרו את הניהול מהאינטרנט: חסמו גישה חיצונית ל-SSH, לממשק WebFig ולשרת בדיקת רוחב הפס. אם חייבים גישה מרחוק, הגבילו אותה לכתובות מוכרות, ועדיף דרך VPN כמו WireGuard.
- בדקו סימני פריצה: הריצו
/system/device-mode/printוחפשו ביומן הודעה קריטית על Flagged. בדקו גם אם קיים משתמש לא מוכר (במיוחד ops). חפשו סקריפטים, משימות מתוזמנות, פרוקסי או מנהרות שלא אתם הגדרתם. - אם יש חשד לפריצה: נתקו את הנתב מהרשת, שמרו יומנים והגדרות. אפסו להגדרות היצרן והגדירו מחדש מתצורה מוכרת ולא מגיבוי מלא של המכשיר הפרוץ. אחר כך החליפו את כל הסיסמאות והמפתחות. אל תמחקו את סימון ה-Flagged לפני שהבדיקה הסתיימה.
- אם ספק מנהל את הנתב: פנו לספק התקשורת או לאיש ה-IT ובקשו אישור שהמכשיר עודכן.
מה קרה מאז
ב-6 באוקטובר עדכנה MikroTik את הייעוץ ופירטה את כל שש החולשות. ביניהן חולשה בממשק WebFig שמאפשרת לקרוא קבצים מהנתב בלי התחברות. יש גם חולשה בטיפול בתעודות דיגיטליות (CVE-2026-67278). לפי החברה, התיקון לחולשת התעודות בגרסאות 7.24.2 ו-7.23.4 היה חלקי. התיקון המלא מגיע ב-7.24.3 וב-7.23.6.
מקורות והרחבה
- MikroTik September 2026 security advisoryMikroTik
- Critical vulnerabilities in MikroTik RouterOS are being actively exploited. Immediate update recommendedCERT Polska
- Uzbrucēji pastiprināti cenšas kompromitēt MikroTik maršrutētājusCERT.LV
- MikroTik patches flaws currently being exploited to take over routersCSO Online
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
