שירות הניהול הרשתי של RouterOS, מערכת ההפעלה של ציוד MikroTik, מכיל באג שאפשר להפעיל בבקשת HTTP אחת ובלי להזדהות קודם. בקשה כזאת מריצה קוד על הנתב בהרשאות root, או מפילה את השירות. הציון 9.3 מתוך 10, ואין כרגע ידיעה על ניצול בשטח.

מה החולשה?

כל בקשת HTTP שמגיעה לשירות ניהול כוללת גוף, והשירות צריך לדעת כמה בייטים לקרוא ממנו. המספר הזה עובר חישוב בדרך: כמה נקרא עד כה, כמה נשאר, מאיפה להמשיך. חישוב כזה מניח בשקט שהתוצאה לא תרד מתחת לאפס.

כשהיא כן יורדת, קורה דבר לא אינטואיטיבי. מספר שלם שנשמר בלי סימן אינו יכול להחזיק ערך שלילי, ולכן הוא אינו נעצר באפס אלא עובר לקצה האחר של התחום ונהפך למספר עצום. הקוד שקיבל אותו ממשיך לעבוד כרגיל ומאמין שלפניו כמות ענקית של נתונים לקרוא או לכתוב, והחריגה מהשטח שהוקצה לו היא זו שנותנת לתוקף את הדריסה. לתקלה הזאת קוראים integer underflow, גלישה שלילית של מספר שלם, והיא מסווגת כאן תחת CWE-191.

הרשומה אינה אומרת באיזה חישוב בדיוק מדובר ולא איזה שדה בבקשה מוביל אליו. מה שהיא כן אומרת הם שני דברים שקובעים את חומרת העניין: החישוב נמצא בטיפול בגוף הבקשה, והנקודה הזאת נגישה עוד לפני ההזדהות.

ההרשאה שמתקבלת היא root, החשבון בעל ההרשאות המלאות במערכת, ולא חשבון מוגבל שצריך אחר כך להסלים ממנו. התוקף אינו צריך שם משתמש, אינו צריך סיסמה ואינו צריך שמישהו ילחץ על משהו. ברשומה מופיעה גם האפשרות הפחותה: אותה בקשה יכולה פשוט להפיל את השירות במקום להריץ בו קוד.

בקשה אחת. זה כל מה שצריך.

הציון 9.3 מחושב כאן לפי CVSS בגרסה 4.0. הווקטור מסמן גישה מהרשת, מורכבות נמוכה, בלי דרישת הרשאות ובלי מעורבות של משתמש, ושלושת צירי הנזק על הרכיב עצמו, סודיות שלמות וזמינות, מסומנים כולם כגבוהים. מה שמונע ממנו להגיע לציון מלא הוא שההשפעה על מערכות שמעבר לנתב אינה מסומנת.

מי מושפע?

הרשומה מדברת על גרסאות מושפעות של RouterOS ואינה נוקבת בטווח. את רשימת הגרסאות המדויקת מפרסמת CISA בהודעת ה-ICS שיצאה על החולשה, והיא מקושרת במידע הטכני למטה. זה הפער המרכזי בדף הזה, ואין טעם להסתיר אותו: אי אפשר להגיד כאן מאיזו גרסה אתם מחוץ לטווח.

מה שכן ברור הוא מי נוגע בזה. RouterOS היא מערכת ההפעלה של ציוד MikroTik, וציוד MikroTik נפוץ בישראל: בעסקים קטנים, במשרדים, בארונות תקשורת של בניינים ואצל חלק מספקי האינטרנט. זה אינו נתב שמשתמש פרטי קונה בדרך כלל ביודעין, אבל זה בהחלט נתב שמשתמש פרטי עשוי לגלות שמותקן אצלו.

הרכיב הפגיע הוא שירות הניהול הרשתי, כלומר הממשק שדרכו מגדירים את הנתב. לפי הווקטור הניצול מגיע מהרשת, ולכן השאלה המעשית היא מי יכול לפתוח חיבור אל אותו ממשק. נתב שהממשק הזה שלו נגיש מהאינטרנט נמצא בחשיפה אחרת לגמרי מנתב שאפשר להגיע אליו רק מהרשת הפנימית.

האם מנוצלת בפועל?

אין כרגע ידיעה על ניצול. החולשה אינה רשומה בקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שמרכז את החולשות שנצפה בהן שימוש בתקיפות אמיתיות.

כאן כדאי לשים לב לתאריך. הרשומה פורסמה ב-2 באוקטובר 2026, כלומר היא בת יומיים. היעדר רשומה בקטלוג בגיל כזה אומר בעיקר שעוד לא נצפה ניצול ודווח, ולא שהחולשה אינה מעניינת תוקפים. חולשה שאפשר להגיע אליה בלי הזדהות ובבקשה אחת היא מהסוג שנבדק בסריקות אוטומטיות, ולכן השורה הזאת בדף היא השורה שעשויה להתעדכן בשבועות הקרובים.

מה עושים?

עדכנו את RouterOS. העדכונים מתפרסמים בעמוד ההורדות הרשמי של MikroTik, והוא מקושר ברשומה: עמוד ההורדות של MikroTik

לפני שאתם מעדכנים, פתחו את הודעת ה-ICS של CISA ובדקו מול רשימת הגרסאות שבה אם ההתקנה שלכם בטווח: הודעת CISA על החולשה. הרשומה עצמה אינה כוללת מספרי גרסאות, ולכן זה המקום שבו בודקים.

בדקו מי בכלל יכול להגיע לשירות הניהול. הניצול מגיע מהרשת ובלי הזדהות, כך שהדבר היחיד שעומד בין נתב שלא עודכן לבין בקשה כזאת הוא השאלה מי יכול לפתוח אליו חיבור. נתב שממשק הניהול שלו פתוח לאינטרנט הוא המקרה הדחוף.

ואם הנתב אצלכם הותקן בידי ספק התקשורת או בידי טכנאי חיצוני, זו שיחת טלפון שכדאי לעשות. ציוד MikroTik במשרדים ובארונות תקשורת מנוהל לרוב בידי מי שהתקין אותו ולא בידי מי שמשתמש בו, ומי שאינו מחזיק בסיסמת הניהול של הנתב שלו גם אינו יכול לעדכן אותו בעצמו.