در اوایل سپتامبر ۲۰۲۶، شرکت MikroTik مجموعه‌ای از به‌روزرسانی‌های امنیتی مهم را برای سیستم‌عامل RouterOS منتشر کرد. این به‌روزرسانی‌ها چندین آسیب‌پذیری را برطرف می‌کردند که توسط تیم CERT Polska شناسایی شده و در قالب یک فرایند افشای هماهنگ‌شده مورد بررسی قرار گرفته بودند.
در میان این آسیب‌پذیری‌ها، دو مورد با شناسه‌های CVE-2026-67279 و CVE-2026-86060 اهمیت ویژه‌ای دارند. ترکیب این دو آسیب‌پذیری، زنجیره حمله‌ای با نام MikroTrick را شکل می‌دهد که می‌تواند امکان دستیابی مهاجم به دسترسی مدیریتی از راه دور و بدون احراز هویت را فراهم کند.
شواهد موجود نشان می‌دهد این زنجیره حمله پیش از انتشار عمومی وصله‌های امنیتی، دست‌کم از ۲ سپتامبر ۲۰۲۶، در حملات واقعی مورد استفاده قرار گرفته است. هر دو آسیب‌پذیری در فهرست آسیب‌پذیری‌های مورد بهره‌برداری شناخته‌شده (Known Exploited Vulnerabilities یا KEV) آژانس امنیت سایبری و زیرساخت آمریکا (CISA) قرار گرفته‌اند.
در کنار گزارش‌های منتشرشده از سوی CERT Polska، در گزارش اختصاصی Vulnerbyte متوجه شدیم که تیم پژوهشی Vulnerlab نیز به‌صورت مستقل این زنجیره آسیب‌پذیری را مورد بررسی و تحلیل قرار داده است. نتایج این بررسی‌ها، علاوه بر تأیید سازوکار فنی حمله، نشان می‌دهد که همچنان تعداد قابل‌توجهی از تجهیزات MikroTik با نسخه‌های آسیب‌پذیر RouterOS در زیرساخت‌های شبکه مورد استفاده قرار دارند. این موضوع نشان می‌دهد که با وجود انتشار وصله‌های امنیتی، ریسک بهره‌برداری از این آسیب‌پذیری‌ها همچنان برای بخشی از تجهیزات فعال وجود دارد.
این آسیب‌پذیری‌ها در نسخه‌های 6.49.21، 7.23.4 و 7.24.2 و همچنین نسخه 7.25 اصلاح شده‌اند.
جزئیات فنی آسیب‌پذیری‌های CVE-2026-67279 و CVE-2026-86060
هر دو آسیب‌پذیری در سیستم‌عامل شبکه‌ای MikroTik RouterOS و در مسیر پردازش اتصالات SSH شناسایی شده‌اند، اما منشأ فنی و نحوه عملکرد آن‌ها متفاوت است.
CVE-2026-67279 ناشی از نقص در کنترل توالی مراحل پروتکل SSH است. این نقص به مهاجم احراز هویت‌نشده اجازه می‌دهد بدون تکمیل موفق فرایند ورود، درخواست اجرای فرمان ارسال کند و فایل‌های تحت مدیریت RouterOS، از جمله فایل‌های حاوی اطلاعات پیکربندی و داده‌های عیب‌یابی، را ایجاد، بازنویسی یا بازسازی کند.
در مقابل، CVE-2026-86060 از نقص در پردازش آرگومان‌های نام کاربری در مسیر ورود SSH ناشی می‌شود. این آسیب‌پذیری با امکان دست‌کاری ماسک سیاست‌های دسترسی (Policy Mask)، می‌تواند به افزایش سطح دسترسی مهاجم منجر شود.
هر دو آسیب‌پذیری در نسخه‌های 6.49.21 (Long-term)، 7.23.4 (Long-term) و 7.24.2 (Stable) اصلاح شده‌اند. بنابراین، ارتقا به نسخه‌های اصلاح‌شده یا جدیدتر برای رفع این دو نقص امنیتی ضروری است.
زنجیره حمله MikroTrick و پیامدهای امنیتی
زنجیره حمله MikroTrick امکان دستیابی به کنترل کامل دستگاه‌های RouterOS را بدون نیاز به احراز هویت فراهم می‌کند؛ البته این سناریو زمانی قابل اجراست که سرویس SSH دستگاه از یک شبکه غیرقابل اعتماد، به‌ویژه اینترنت، در دسترس مهاجم باشد.
در این زنجیره، آسیب‌پذیری CVE-2026-67279 با سوءاستفاده از نقص پروتکل SSH و فرایند بازتولید کلید (Rekey)، به کلاینت اجازه می‌دهد پیش از تکمیل احراز هویت به مرحله ایجاد کانال ارتباطی و اجرای دستور برسد. سپس آسیب‌پذیری CVE-2026-86060 از طریق تزریق آرگومان در مسیر ورود و استفاده از نام کاربری ساختگی مانند -2، امکان تغییر Trusted Policy Mask و ارتقای سطح دسترسی به سطح کامل مدیریتی را فراهم می‌کند.
مراحل این زنجیره حمله به شرح زیر است:
۱. CVE-2026-67279 – نقص در ماشین حالت SSH
مهاجم با ارسال درخواست Rekey پیش از تکمیل فرایند احراز هویت، باعث می‌شود سرور به‌اشتباه از مرحله احراز هویت عبور کند و امکان باز کردن کانال Session را بدون دریافت پیام SSH_MSG_USERAUTH_SUCCESS فراهم سازد. در این مرحله، هنوز هویت و سطح دسترسی معتبری به اتصال اختصاص نیافته است.
۲. CVE-2026-86060 – تزریق آرگومان در Login Helper
پس از باز شدن کانال ارتباطی، نام کاربری ساختگی -2 به فرایند Login Helper ارسال می‌شود. این مقدار به‌عنوان شماره File Descriptor تفسیر شده و Helper از FD 2، که به PTY نشست متصل است، اطلاعات هویت جایگزین و Policy Mask را می‌خواند. مهاجم از طریق کانال SSH می‌تواند مقادیر دلخواه، از جمله مقادیر مربوط به سطح دسترسی کامل، را به این فرایند تزریق کند.
ترکیب این دو نقص باعث می‌شود یک اتصال SSH بدون ارائه هیچ‌گونه اعتبارنامه یا کلید احراز هویت، به کنسول مدیریتی با سطح دسترسی کامل تبدیل شود.
فعالیت‌های بعدی در دستگاه با هویت ثبت‌شده به شکل ssh:-2@<IP> در لاگ‌ها قابل مشاهده هستند.
پیامدهای امنیتی و تأثیر بر زیرساخت شبکه
اهمیت عملیاتی این زنجیره حمله به دلیل جایگاه RouterOS در بسیاری از زیرساخت‌های شبکه، به‌ویژه در لبه شبکه (Edge)، بسیار بالاست. دستیابی به کنترل کامل یک دستگاه RouterOS می‌تواند پیامدهای زیر را به همراه داشته باشد:
تغییر پیکربندی مسیریابی، فایروال و تونل‌های ارتباطی
ایجاد حساب‌های کاربری جدید و حفظ دسترسی پایدار (Persistence)
پایش، شنود یا دست‌کاری ترافیک عبوری
استفاده از دستگاه به‌عنوان نقطه دسترسی جانبی برای نفوذ به شبکه‌های داخلی (Lateral Movement)
شواهد منتشرشده نشان می‌دهد بهره‌برداری موفق از این زنجیره دست‌کم از ۲ سپتامبر ۲۰۲۶، یعنی یک روز پیش از انتشار وصله‌های امنیتی در ۳ سپتامبر، آغاز شده است.
از جمله نشانه‌های مشاهده‌شده در حملات می‌توان به تلاش‌های ناموفق ورود با نام کاربری -2، ایجاد حساب کاربری ops با گروه دسترسی full و در برخی موارد انتقال فایل‌های تشخیصی اشاره کرد.
هر دو آسیب‌پذیری نیز در فهرست CISA KEV قرار گرفته‌اند که نشان‌دهنده ثبت بهره‌برداری واقعی از آن‌هاست.
در پیکربندی پیش‌فرض بسیاری از دستگاه‌های خانگی، سرویس SSH از طریق اینترنت در دسترس نیست. بااین‌حال، دستگاه‌هایی که مدیران شبکه سرویس SSH آن‌ها را به‌صورت دستی در معرض اینترنت قرار داده‌اند یا در محیط‌های سازمانی بدون محدودیت دسترسی مناسب فعالیت می‌کنند، در معرض خطر مستقیم قرار دارند.
اگرچه وصله‌های امنیتی منتشرشده در نسخه‌های 6.49.21، 7.23.4 و 7.24.2 این دو آسیب‌پذیری را برطرف می‌کنند، اما حذف دسترسی پایدار احتمالی که مهاجم پیش از به‌روزرسانی ایجاد کرده است، نیازمند بررسی مستقل پیکربندی و وضعیت امنیتی دستگاه خواهد بود.
یافته‌های بررسی اختصاصی Vulnerbyte
بررسی‌های اختصاصی تیم پژوهشی Vulnerbyte نشان می‌دهد که با وجود انتشار اصلاحیه‌های امنیتی MikroTik، همچنان تعداد قابل‌توجهی از تجهیزات این شرکت با نسخه‌های آسیب‌پذیر RouterOS در زیرساخت‌های شبکه فعال هستند.
نتایج این بررسی‌ها نشان می‌دهد که انتشار وصله امنیتی لزوماً به معنای رفع ریسک در سطح زیرساخت نیست و تجهیزات به‌روزرسانی‌نشده، به‌ویژه در مواردی که سرویس‌های مدیریتی آن‌ها از شبکه‌های غیرقابل اعتماد در دسترس هستند، همچنان می‌توانند در معرض بهره‌برداری از زنجیره حمله MikroTrick قرار داشته باشند.
تیم پژوهشی Vulnerbyte در این بررسی، سازوکار فنی زنجیره حمله و وضعیت مواجهه تجهیزات با آسیب‌پذیری‌های مورد بحث را ارزیابی کرده است. جزئیات فنی، مستندات اعتبارسنجی و شواهد عملی این تحقیق در محیط آزمایشگاهی Vulnerlab ارائه خواهد شد.
توصیه‌های امنیتی و اقدامات کاهش ریسک
برای کاهش احتمال بهره‌برداری از این آسیب‌پذیری‌ها و بررسی دستگاه‌های احتمالا آلوده، اقدامات زیر توصیه می‌شوند:
ارتقای RouterOS: دستگاه‌ها را در اسرع وقت به نسخه‌های 7.24.3 یا بالاتر، 7.23.6 یا بالاتر و 6.49.21 یا بالاتر ارتقا دهید. توقف روی پچ های اولیه، یعنی نسخه‌های 7.24.2 و 7.23.4، به دلیل ناقص بودن اصلاح آسیب‌پذیری CVE-2026-67278 کافی نیست.
محدودسازی دسترسی مدیریتی: دسترسی به سرویس SSH و در صورت امکان Winbox و API را به شبکه مدیریتی و مبدأهای مورد اعتماد محدود کنید. اعمال محدودیت از طریق فایروال می‌تواند سطح مواجهه دستگاه با حملات خارجی را کاهش دهد.
ارسال متمرکز لاگ‌ها: ارسال Syslog به یک جمع‌کننده بیرونی لاگ(External Log Collector) را با تنظیم
topics=allفعال کنید تا شواهد و رویدادهای امنیتی حتی پس از راه‌اندازی مجدد دستگاه نیز در دسترس باشند.بررسی تغییرات پیکربندی: حساب‌های کاربری، اسکریپت‌ها و زمان‌بندهای (Schedulers) دستگاه را به‌صورت دوره‌ای بررسی کنید. هرگونه مورد غیرمنتظره باید با نسخه مرجع پیکربندی (Baseline Snapshot) مقایسه و ارزیابی شود.
اقدام در صورت مشاهده نشانه‌های نفوذ: در صورت مشاهده شواهد مشکوک یا نشانه‌های بهره‌برداری موفق، پیش از راه‌اندازی مجدد دستگاه، اشیای پیکربندی مرتبط را استخراج و نگهداری کنید. همچنین دستگاه را از شبکه مدیریتی جدا کنید تا امکان بررسی کامل و جلوگیری از ادامه فعالیت مهاجم فراهم شود.
Vulnerlab | Technical Research & PoC
برای مطالعه جزئیات فنی بیشتر، بررسی سازوکار اکسپلویت، مشاهده کد اثبات مفهوم (PoC) و مستندات بازتولیدپذیری زنجیره حمله MikroTrick، به گزارش تخصصی منتشرشده در آزمایشگاه پژوهشی Vulnerlab مراجعه کنید.
مشاهده تحلیل فنی و PoC در Vulnerlab ←
