דף הניהול של הנתב, זה שנפתח בדפדפן ומבקש שם משתמש וסיסמה, נראה כמו השכבה שמגנה על הקופסה. בנתבי MikroTik, לפי התראה שפרסמה סוכנות הסייבר האמריקאית CISA ב-29 בספטמבר, מספיקה בקשת HTTP אחת שנבנתה במיוחד כדי להריץ קוד על הנתב בהרשאות הגבוהות ביותר שיש. שם משתמש וסיסמה לא נדרשים בדרך, כי הקוד שמטפל בבקשה רץ עוד לפני שמישהו בדק מי שלח אותה.

מה קרה

החולשה סומנה CVE-2026-84411 והיא יושבת בשירות הניהול דרך הדפדפן ב-RouterOS, מערכת ההפעלה של נתבי MikroTik. כשהשירות מקבל בקשה הוא מחשב את אורך גוף הבקשה, וחישוב כזה אפשר לבלבל: אם התוצאה יורדת מתחת לאפס היא לא נשארת שלילית אלא מתגלגלת למספר עצום. מכאן הנתב קורא וכותב באזורי זיכרון שלא נועדו לו, וזה המקום שבו תוקף מצליח להשתיל קוד משלו. לסוג הבאג הזה קוראים integer underflow, ו-CISA נותנת לו ציון 9.8 מתוך 10 ומסבירה שהתוצאה היא אחת משתיים: הרצת קוד בהרשאות root, החשבון שיכול לעשות הכול על המכשיר, או נתב שמפסיק להעביר תעבורה.

מה שפחות ברור זה לאיזו גרסה לעדכן. ההתראה כותבת שכל הגרסאות מתחת ל-7.24 חשופות, ובאותה נשימה ממליצה לעדכן ל-7.23 ומעלה. ב-BleepingComputer פנו גם ל-CISA וגם ל-MikroTik כדי להבין את הסתירה ולא קיבלו תשובה, ו-MikroTik עצמה טרם פרסמה הודעת אבטחה בנושא. הגרסה היציבה האחרונה היא 7.24.4 והגרסה ארוכת-הטווח היא 7.23.7, ושתיהן זמינות להורדה מ-16 בספטמבר. CISA מוסיפה שאינה יודעת על ניצול בפועל ושאין קוד מתקפה פומבי.

למה זה חשוב לכם

MikroTik אינה היצרנית של הקופסאות שספקיות האינטרנט מחלקות ללקוחות הפרטיים בישראל, והנתבים שלה מוכרים בעיקר למי שצריך יותר מזה: עסקים קטנים, משרדים, בתי קפה עם רשת לאורחים, ועדי בתים, וגם חובבים שהחליפו את ציוד הספק בציוד משלהם. אם מישהו הקים לכם את הרשת בעסק, הוא יידע לומר בדקה אם זה הציוד שמותקן אצלכם. המכשירים האלה הם יעד קבוע: לפני כשבוע כתבנו כאן על MikroTrick, שרשרת של שתי חולשות אחרות ב-RouterOS שתוקפים השתמשו בה כדי להשתלט על מכשירים שחשפו את שירות ה-SSH שלהם לאינטרנט.

והנקודה הרחבה יותר נוגעת לכל נתב, מכל יצרן. אם דף הניהול שלו נגיש מהאינטרנט הפתוח ולא רק מהרשת הביתית, כל חולשה שתתגלה בו בעתיד הופכת מבעיה תיאורטית לבעיה שלכם, ובינתיים כל סורק אוטומטי ברשת יכול לנסות. זו בדיוק הגישה ששווה לסגור, בלי קשר לשם שכתוב על הקופסה.

מה עושים?

בדקו איזו גרסת RouterOS מותקנת אצלכם (בממשק: System ואז Packages) ועדכנו לגרסה היציבה 7.24.4, או ל-7.23.7 אם אתם בענף ארוך-הטווח. ההורדה היא מאתר MikroTik.

סגרו את דף הניהול לאינטרנט. ב-RouterOS זה נעשה דרך IP ואז Services: הגבילו את www ואת www-ssl לכתובות הרשת הפנימית בשדה Available From, או כבו אותם לגמרי אם אינכם משתמשים בהם.

צריכים לנהל את הנתב מרחוק? עשו זאת דרך VPN מעודכן ולא דרך פתיחת דף הניהול לכל האינטרנט. זו גם ההמלצה המרכזית של CISA, לצד הפרדת ציוד התקשורת מרשת העבודה.

ואם הנתב שלכם הוא בכלל של בזק, הוט או פרטנר: היכנסו להגדרות, ודאו שהאפשרות ניהול מרחוק או Remote Management מכובה, והחליפו את סיסמת הניהול אם היא עדיין זו שהודפסה על המדבקה.

ציון 9.8 בלי ניצול ידוע ובלי קוד מתקפה פומבי הוא החלון הנוח לעדכן בו. הוא לא נשאר פתוח הרבה זמן.