תוקפים חוטפים ראוטרים של MikroTik דרך SSH חשוף לאינטרנט ללא אימות

תוקפים מנצלים שילוב פגיעויות ב-RouterOS של MikroTik, המכונה MikroTrick, כדי להשתלט על ראוטרים עם שירות SSH חשוף לאינטרנט — בלי צורך בשם משתמש או סיסמה. CERT Polska פרסמה אזהרה על ניצול פעיל, ו-MikroTik כבר שחררה עדכוני אבטחה. מדובר בציוד קצה נפוץ גם בישראל, ולכן כל ראוטר כזה שחשוף לרשת הציבורית נמצא בסיכון מיידי.

מנעול שבור מעל ראוטר, סמל לפריצה לראוטר רשת

מזהה	לא פורסם מספר CVE יחיד — שילוב שתי פגיעויות בשם MikroTrick
מוצר וגרסאות מושפעות	MikroTik RouterOS — גרסאות 6.0.0 עד 6.49.20; גרסאות 7.0.0 עד 7.23.3; וגרסאות 7.24 עד 7.24.1
חומרה	לא פורסם ציון CVSS רשמי; המשמעות המעשית היא השתלטות מלאה על הראוטר ללא אימות
האם מנוצל בפועל	כן — CERT Polska תיעדה ניצול פעיל החל מ-2 בספטמבר 2026
סטטוס תיקון	זמין — 6.49.21, 7.23.4 (או 7.23.5 בערוץ ה-long-term), ו-7.24.2

מה קרה

לפי האזהרה של CERT Polska, התוקפים מאתרים ראוטרי MikroTik עם שירות SSH פתוח לאינטרנט ומשתמשים בשילוב הפגיעויות כדי לעקוף את שלב האימות לגמרי ולקבל גישת מנהל מלאה. מכיוון שראוטרים כאלה משמשים לעיתים קרובות כשער הכניסה לרשת ארגונית או ביתית שלמה, השתלטות עליהם מאפשרת לתוקף לצותת לתעבורה, להפנות אותה מחדש, או להשתמש בראוטר כנקודת מוצא להתקפות נוספות.

נקודות לשים לב

עדכנו את כל מכשירי RouterOS לגרסה המתוקנת המתאימה למסלול השדרוג שלכם (6.49.21, 7.23.4/7.23.5 או 7.24.2) בהקדם האפשרי.
עד לעדכון — כבו גישת SSH מהאינטרנט הפתוח, או הגבילו אותה לכתובות IP מהימנות בלבד באמצעות כללי חומת אש.
בדקו את יומני הראוטר ואת רשימת המשתמשים בחיפוש אחר חשבונות לא מוכרים, שינויי תצורה לא מתועדים, או תבניות רישום מסוג ssh:-2@ שמצוינות כסימן היכר לניצול.
אם יש חשד לפריצה — בודדו את המכשיר, שמרו עותק של הלוגים והתצורה, ואז אפסו אותו להגדרות יצרן ושחזרו מגיבוי מאומת ולא מהתצורה הקיימת.
ראוטר שנגיש רק ברשת פנימית עדיין דורש עדכון, אך הדחיפות הגבוהה ביותר היא במכשירים עם ניהול חשוף לאינטרנט.