תוקף שאין לו שם משתמש ואין לו סיסמה פותח חיבור SSH לנתב, מזין שם משתמש שמתחיל בתו שאמור להיפסל, ויוצא עם הרשאות גבוהות מאלה שמגיעות לו. זה מה שהחולשה הזאת מאפשרת, והציון שנקבע לה הוא 9.2 מתוך 10. התיקון נמצא בגרסאות 6.49.21 ו-7.23.4 במסלול ה-long-term ובגרסה 7.24.2 במסלול ה-stable, ומ-10 בספטמבר 2026 ידוע שתוקפים מנצלים את החולשה בשטח.

מה החולשה?

כשמישהו מתחבר לנתב ב-SSH, התוכנה שמקבלת את החיבור מעבירה את שם המשתמש הלאה, אל הרכיב הפנימי שמטפל בהתחברות עצמה. הרכיב הזה מקבל את הפרטים כשורה של ערכים שמופרדים זה מזה לפי כללים קבועים. הבעיה מתחילה כשערך שמגיע מבחוץ יכול להתחזות לאחד המפרידים האלה: מרגע זה הוא כבר לא נקרא כשם משתמש, אלא כהוראה נוספת שהרכיב מקבל ומבצע. לסוג הבאג הזה קוראים argument injection, הזרקת ארגומנטים.

מה שמושפע כאן הוא מסכת ההרשאות שהמערכת מצמידה לחיבור, אותה רשימה שקובעת מה מותר לאותו חיבור לעשות על הנתב: לקרוא הגדרות, לשנות אותן, להריץ פקודות. שם משתמש שנבנה נכון משנה את המסכה הזאת, וכך מי שנכנס בלי שום הרשאה מקבל בסופו של דבר יותר משהיה אמור. בעולם האבטחה קוראים לזה הסלמת הרשאות.

תנאי אחד כן נדרש, והוא חשוב לתמונה: החיבור צריך להגיע עד רכיב ההתחברות של RouterOS. נתב שהשירות שלו סגור כלפי חוץ מקשה על התוקף בדיוק בשלב הזה.

מי מושפע?

כל ציוד MikroTik שמריץ RouterOS בגרסה שקודמת ל-6.49.21 או ל-7.23.4 במסלול ה-long-term, ול-7.24.2 במסלול ה-stable. בישראל זה לא ציוד נדיר: RouterOS מריץ נתבים וציוד תקשורת אצל ספקי אינטרנט קטנים, בעסקים ובמשרדים, ולא מעט גם בבתים של אנשים שרצו נתב גמיש יותר מזה שהספק שלח.

אם את הנתב התקין ספק תקשורת או טכנאי חיצוני, יש סיכוי טוב שהוא השאיר לעצמו גישת ניהול מרחוק כדי לתחזק אותו. זה בדיוק המצב שבו החולשה הזאת רלוונטית, וזה גם המצב שבו הכי קל לשכוח שהיא קיימת.

האם מנוצלת בפועל?

כן. ב-10 בספטמבר 2026 הכניסה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV שלה, הרשימה שמרכזת חולשות שידוע שתוקפים משתמשים בהן בשטח, עם מועד יעד לגופים הפדרליים ב-13 בספטמבר.

קודם לכן עמד כאן סימן שאלה, וראוי לומר שהוא נסגר. ההתראה של CERT Polska, צוות התגובה לאירועי סייבר של פולין, דיברה על חולשות ב-RouterOS שמנוצלות בפועל בלי לומר באילו מדובר, ולא היה אפשר לקבוע אם זאת אחת מהן. עכשיו אפשר.

לבעל נתב המסקנה המעשית התחדדה ולא השתנתה. ההבדל בין להתקין את העדכון השבוע לבין לדחות אותו לחודש הבא הוא בדיוק החלון שמישהו כבר מחפש.

מה עושים?

קודם כול בדקו איזו גרסה רצה אצלכם. גם ב-WinBox וגם בממשק WebFig בדפדפן, מספר הגרסה מופיע במסך הפתיחה, ואפשר לראות אותו גם בתפריט System ואז Packages לצד רשימת החבילות המותקנות.

לעדכון: היכנסו ל-System ואז Packages, לחצו Check For Updates, ודאו שאתם על הערוץ הנכון (long-term או stable, לפי מה שהותקן אצלכם) ואז Download&Install. הנתב מוריד את הקובץ ומאתחל את עצמו, מה שאומר ניתוק של דקה או שתיים. היעד הוא 6.49.21 או 7.23.4 בערוץ ה-long-term, ו-7.24.2 בערוץ ה-stable. גרסה שקודמת להן עדיין חשופה.

עד לעדכון, ורצוי גם אחריו, סגרו את הגישה מבחוץ. בתפריט IP ואז Services מופיעה רשימת שירותי הניהול; בשורה של ssh אפשר למלא בעמודת Available From את טווח הכתובות היחיד שמורשה להתחבר, או להשבית את השירות לגמרי אם אף אחד לא משתמש בו. אותו טיפול מגיע לשאר השירותים ברשימה.

ואם הנתב מנוהל בידי ספק או טכנאי חיצוני, השאלה לשלוח אליהם היא בת שורה אחת: באיזו גרסת RouterOS הנתב נמצא, ומתי הוא מתעדכן.