دو آسیب‌پذیری بحرانی در روترهای میکروتیک
نخستین آسیب‌پذیری با شناسه CVE-2026-67276، از نوع دور زدن احراز هویت SSH (Authentication Bypass) در RouterOS است. این آسیب‌پذیری به نحوه نادرست بررسی کلیدهای عمومی RSA مربوط می‌شود و به مهاجم اجازه می‌دهد بدون داشتن کلید خصوصی معتبر، فرآیند احراز هویت را دور بزند.
برای اجرای این حمله، مهاجم کافی است نام کاربری هدف و مدول عمومی (Public Modulus) کلید آن کاربر را در اختیار داشته باشد. سپس می‌تواند با ساخت یک کلید جدید، فرآیند احراز هویت SSH را دور بزند و بدون در اختیار داشتن کلید خصوصی معتبر، یک نشست SSH با دستگاه برقرار کند.
آسیب‌پذیری دوم با شناسه CVE-2026-86060 از نوع افزایش سطح دسترسی (Privilege Escalation) در سرویس SSH مربوط به RouterOS است. این آسیب‌پذیری به دلیل پردازش نادرست نام‌های کاربری دست‌کاری‌شده ایجاد شده و می‌تواند به مهاجم امکان دهد سطح دسترسی خود را در نشست SSH افزایش دهد. در نهایت، این آسیب‌پذیری می‌تواند دسترسی مهاجم را تا سطح کامل مدیریتی روترهای میکروتیک افزایش دهد.
زنجیره اکسپلویت MikroTrick
هر دو آسیب‌پذیری توسط آژانس CERT لهستان و با کمک GPT-5.5-cyber و GPT-5.6-sol شناسایی شده‌اند و در رده بحرانی (Critical) قرار دارند.
CERT لهستان این زنجیره اکسپلویت را MikroTrick نام‌گذاری کرده و تأیید کرده است که مهاجمان از این زنجیره در حملات واقعی استفاده می‌کنند.
این نهاد اعلام کرده است که طی روزهای اخیر، حملاتی علیه دستگاه‌های RouterOS که از طریق اینترنت قابل دسترسی هستند، شناسایی شده است. بررسی‌های CERT نشان می‌دهد مهاجمان با ترکیب این دو آسیب‌پذیری روترهای میکروتیک می‌توانند کنترل کامل دستگاه‌هایی را در اختیار بگیرند که سرویس SSH آن‌ها از طریق شبکه‌های عمومی قابل دسترسی است.
آسیب‌پذیری سوم در سرویس Bandwidth-Test
CERT لهستان از آسیب‌پذیری دیگری با شناسه CVE-2026-67277 نیز خبر داده است که سرویس Bandwidth-Test در RouterOS را تحت تأثیر قرار می‌دهد. این ضعف امنیتی به مهاجمان احراز هویت‌نشده اجازه می‌دهد به محتوای حافظه کرنل دسترسی پیدا کرده و اطلاعات موجود در آن را افشا کنند.
همچنین مهاجمان می‌توانند با سوءاستفاده از این آسیب‌پذیری، روتر را از راه دور دچار کرش کنند یا باعث راه‌اندازی مجدد (Restart) آن شوند. در نتیجه، این ضعف امنیتی علاوه بر ایجاد ریسک برای محرمانگی اطلاعات، می‌تواند دسترس‌پذیری روترهای میکروتیک را نیز مختل کند.
انتشار به‌روزرسانی امنیتی توسط میکروتیک
میکروتیک این آسیب‌پذیری‌ها را در نسخه‌های RouterOS 7.25beta3، 7.24.2، 7.23.4 و 6.49.21 برطرف کرده است. این نسخه‌ها در تاریخ 3 سپتامبر منتشر شدند و CERT لهستان نیز پچ امنیتی اعمال‌شده در آن‌ها را اعتبارسنجی کرده است.
میکروتیک در اطلاعیه امنیتی خود اعلام کرده است که همه پیکربندی‌ها تحت تأثیر این آسیب‌پذیری‌ها قرار نمی‌گیرند. با این حال، این شرکت جزئیات مربوط به پیکربندی‌های آسیب‌پذیر را منتشر نکرده است تا کاربران فرصت کافی برای نصب به‌روزرسانی‌های امنیتی داشته باشند.
همچنین، نسخه‌های جدید RouterOS به قابلیتی برای شناسایی نشانه‌های نفوذ مجهز شده‌اند. این قابلیت هنگام راه‌اندازی دستگاه، پیکربندی آن را از نظر وجود تغییرات غیرمجاز و نشانه‌های شناخته‌شده نفوذ بررسی می‌کند. در صورت شناسایی موارد مشکوک، ورودی‌های مخرب را غیرفعال کرده و یک هشدار بحرانی در لاگ دستگاه ثبت می‌کند. با این حال، CERT لهستان هشدار داده است که نبود شواهدی از نفوذ، لزوماً به معنای هک نشدن دستگاه نیست.
شاخص‌های نفوذ در روترهای میکروتیک
CERT لهستان مجموعه‌ای از شاخص‌های نفوذ (IoCs) مرتبط با حملات MikroTrick را منتشر کرده است. بررسی این موارد می‌تواند به شناسایی نشانه‌های احتمالی نفوذ در روترهای میکروتیک کمک کند. از جمله مهم‌ترین نشانه‌هایی که باید در لاگ‌های دستگاه بررسی شوند، می‌توان به موارد زیر اشاره کرد:
- ثبت پیام login failure for user -2 from <ip> via ssh در لاگ که نشان‌دهنده تلاش ناموفق برای ورود از طریق SSH است.
- ثبت پیام user <name> added by ssh:-2@<ip> در لاگ که می‌تواند نشان‌دهنده ایجاد یک حساب کاربری از طریق SSH باشد.
- وجود یک حساب کاربری با نام ops و سطح دسترسی بسیار بالا.
- مشاهده آدرس IP 82.192.72.4 که با حملات موفق و تأییدشده مرتبط است.
- مشاهده آدرس IP 103.102.31.18 که با تلاش برای سوءاستفاده از زنجیره اکسپلویت MikroTrick مرتبط بوده است.
اقدامات لازم در صورت احتمال نفوذ
CERT توصیه می‌کند در صورت احتمال نفوذ، ارتباط دستگاه با شبکه قطع شود تا مهاجم دیگر نتواند به آن دسترسی داشته باشد. سپس باید لاگ‌ها و پیکربندی فعلی دستگاه حفظ شوند تا کارشناسان بتوانند شواهد موجود و نحوه نفوذ را بررسی کنند.
در مرحله بعد، دستگاه باید ریست فکتوری (Factory Reset) شود و پس از آن با استفاده از یک پیکربندی مورد اعتماد، مجدداً راه‌اندازی گردد. همچنین توصیه می‌شود تمامی رمزهای عبور، کلیدها و سایر اطلاعات محرمانه تغییر داده شوند؛ زیرا ممکن است مهاجم در جریان حمله به این اطلاعات دسترسی پیدا کرده باشد.
کاربرانی که امکان نصب فوری به‌روزرسانی‌های امنیتی را ندارند، باید دسترسی خارجی به سرویس‌های SSH، WWW/WWW-SSL و Bandwidth-Test را محدود کرده یا در صورت امکان، این سرویس‌ها را غیرفعال کنند.
همچنین توصیه می‌شود از کلاینت داخلی SSH دستگاه استفاده نشود و از برقراری اتصال‌های TLS خروجی از طریق شبکه‌های غیرقابل‌اعتماد نیز خودداری گردد.
اجرای این اقدامات می‌تواند تا زمان نصب پچ‌های امنیتی RouterOS، ریسک حمله به روترهای میکروتیک را کاهش دهد؛ با این حال، این اقدامات جایگزین نصب به‌روزرسانی‌های امنیتی نخواهند بود.
بر اساس داده‌های بنیاد ShadowServer، تا 5 سپتامبر حدود 122,500دستگاه میکروتیک دارای رابط SSH بوده‌اند که امکان دسترسی به آن‌ها از طریق اینترنت وجود داشته است. با این حال، تعداد دقیق دستگاه‌هایی که در برابر زنجیره اکسپلویت MikroTrick آسیب‌پذیر هستند هنوز مشخص نشده است.
