נתב MikroTik יכול לקבל מהרשת בקשה לבדיקת מהירות ולהתחיל לטפל בה עוד לפני שווידא מי שלח אותה. שתי תוצאות יוצאות מזה: פיסות מזיכרון הליבה נשלחות החוצה אל מי שביקש, והנתב עלול לאתחל את עצמו. הציון הוא 8.8, התיקון כבר יצא בשלושה ענפי גרסאות, ומ-10 בספטמבר 2026 החולשה מסומנת כמנוצלת בפועל.
מה החולשה?
ב-RouterOS יש כלי מובנה לבדיקת מהירות הקו, btest. חיבור בדיקה כזה נפתח בשני חלקים: שיחה ראשית שבה הצדדים מזדהים, ולצידה חיבור נלווה שמעביר את התעבורה עצמה. הבאג הוא שהנתב מקבל את החיבור הנלווה גם כשהשיחה הראשית עדיין לא סיימה את ההזדהות. מי שיודע את זה מדלג על שלב ההזדהות כולו ומתחיל בדיקה בעצמו.
מכאן זה מתפצל לשתי בעיות נפרדות. הראשונה נוגעת למה שנשלח בבדיקה. כשהאפשרות random-data כבויה, הנתב אינו ממלא את המנות בנתונים חדשים והוא שולח את מה שכבר היה שמור באזור הזיכרון של הליבה שממנו נלקחה המנה. התוקף מקבל בחזרה שאריות זיכרון שלא נועדו לו ואינו צריך לעשות שום דבר נוסף כדי לקבל אותן.
השנייה היא חישוב. הרשומה מתארת בדיקת גודל מנה שהתנאי בה הפוך ואינו נבדק, וכשהחישוב יורד מתחת לאפס המספר גולש ומתהפך לערך עצום. התוצאה היא פלט מקוטע בגודל חריג, ובמקרים מסוימים אתחול של ליבת RouterOS. נתב שמאתחל את עצמו הוא בית או משרד בלי אינטרנט, כל עוד התוקף חוזר על הבקשה.
שווה להיות מדויקים גם לגבי מה שהחולשה אינה נותנת. הדירוג מסמן פגיעה נמוכה בסודיות ואפס בשלמות, כלומר אין כאן השתלטות על הנתב ואין שינוי של ההגדרות שלו. מה שיש הוא דליפה ויכולת להפיל אותו. בנתב, היכולת להפיל אותו היא לא דבר קטן.
מי מושפע?
הרשומה אינה מונה דגמים, אלא מציינת את גרסאות התיקון: 6.49.21 בענף ה-Long-term, 7.23.4 בענף ה-Long-term ו-7.24.2 בענף ה-Stable. כל מה שקודם לגרסאות האלה בענף המתאים נמצא בטווח.
בישראל MikroTik הוא מותג נפוץ מאוד, ולא רק בחדרי שרתים: נתבים של ספקי אינטרנט קטנים, אנטנות ורשתות אלחוטיות בבנייני מגורים, ותשתית של עסקים קטנים שהוקמה בידי טכנאי חיצוני. הרבה מהציוד הזה הותקן פעם אחת ולא עודכן מאז.
השאלה המכריעה היא אם ה-btest נגיש מבחוץ. נתב שחשוף לאינטרנט והשירות הזה פתוח בו זמין לכל מי שסורק כתובות. אם הגישה אליו קיימת רק מהרשת הפנימית, הסיכון קטן בהרבה.
האם מנוצלת בפועל?
כן. הסטטוס הזה נבדק כאן מחדש כל יום, וב-10 בספטמבר 2026 הוא השתנה: CISA הכניסה את החולשה לקטלוג ה-KEV שלה, רשימת החולשות שהסוכנות האמריקאית מאשרת כי תוקפים משתמשים בהן בפועל. המועד שנקבע שם לגופים הפדרליים הוא 13 בספטמבר, שלושה ימים בלבד.
הכניסה הזאת סוגרת סימן שאלה שעמד כאן קודם. ההתראה של CERT Polska, צוות התגובה לאירועי סייבר של פולין, דיברה על חולשות ב-RouterOS שמנוצלות בשטח בלי לומר באילו מהן מדובר. עכשיו החולשה הזאת מסומנת בשמה.
מה שעדיין לא פורסם הוא מי תוקף, את מי ובאיזה היקף. אין ברשומה שם של קבוצה ואין תיאור של קמפיין, ולכן מה שאפשר לומר כאן נעצר בעובדה עצמה.
מה עושים?
בדקו איזו גרסה רצה על הנתב. ממשק הניהול של RouterOS מציג אותה, ומה שחשוב הוא גם המספר וגם הענף, כי Long-term ו-Stable מתעדכנים בנפרד ומספריהם אינם ניתנים להשוואה ישירה.
עדכנו לפי הענף שלכם. בענף Long-term התיקון נמצא בגרסה 6.49.21 ובגרסה 7.23.4, ובענף Stable הוא בגרסה 7.24.2. המספרים האלה מופיעים ברשומה עצמה, והודעת השחרור בפורום של MikroTik היא ההפניה הרשמית.
עד שתעדכנו, סגרו את הגישה מהאינטרנט אל שירותי הניהול והבדיקה של הנתב. בנתב ביתי או משרדי כמעט אין סיבה ש-btest יהיה פתוח החוצה, וסגירה שלו מוציאה אתכם מטווח החולשה גם לפני שהעדכון מותקן.
ואם הנתב שלכם אתחל את עצמו לאחרונה בלי סיבה מובנת, אל תמחקו את זה מהראש. אתחול של הליבה הוא בדיוק התסמין שהחולשה הזאת מייצרת, והוא כמעט הסימן היחיד שמשתמש רגיל יכול לראות בלי כלים.