میکروتیک در ایران، به‌خصوص در شبکهٔ ISPها، شرکت‌ها و وایرلس، یکی از رایج‌ترین روترهاست. همین رواج، آن را هدف جذابی کرده است: روتر همیشه روشن است، IP عمومی دارد، ترافیک همه از آن رد می‌شود و کمتر کسی هر روز به آن سر می‌زند. در این مقاله مهم‌ترین حفره‌های چند سال اخیر را مرور می‌کنیم؛ نه برای ترساندن، بلکه چون هر کدام یک درس عملی دارد.
اول از همه: الان چه نسخه‌ای امن است؟
تا امروز (۱۲ آبان ۱۴۰۵)، صفحهٔ امنیتی میکروتیک این نسخه‌ها را برای رفع همهٔ حفره‌های اعلام‌شده لازم می‌داند:
| شاخه | حداقل نسخه |
|---|---|
| RouterOS 7 Stable | 7.25.1 |
| RouterOS 7 Long-term | 7.24.6 |
| RouterOS 6 | 6.49.23 |
۲۰۱۷: Chimay-Red، ابزار افشاشدهٔ سیا
در مجموعهٔ اسناد Vault 7 که ویکی‌لیکس در ۲۰۱۷ منتشر کرد، ابزاری به نام Chimay-Red بود که از یک حفرهٔ خرابی حافظه در سرویس وب RouterOS (همان WebFig) استفاده می‌کرد و بدون رمز اجرای کد روی روتر را ممکن می‌کرد. میکروتیک اسفند ۱۳۹۵ (مارس ۲۰۱۷) آن را در نسخهٔ 6.38.5 با یک خط در changelog رفع کرد: www - fixed http server vulnerability. بعدها شمارهٔ CVE-2017-20149 گرفت.
درس: خیلی از رفع‌های امنیتی با یک خط کوتاه در changelog می‌آیند. اگر سرویس وب روتر را لازم ندارید، خاموشش کنید.
۲۰۱۸: CVE-2018-14847، حفرهٔ Winbox
معروف‌ترین حفرهٔ تاریخ میکروتیک. یک ابزار خاص می‌توانست به پورت Winbox (8291) وصل شود و بدون ورود فایل پایگاه دادهٔ کاربران را بخواند، یعنی نام کاربری و رمز مدیر را. نسخه‌های 6.29 تا 6.42 آسیب‌پذیر بودند و میکروتیک ۳ اردیبهشت ۱۳۹۷ (۲۳ آوریل ۲۰۱۸) آن را در 6.42.1 و 6.40.8 رفع کرد.
اما چند ماه بعد، صدها هزار روتر هنوز آپدیت نشده بودند. در مرداد ۱۳۹۷ یک کارزار بزرگ کشف شد که روی بیش از ۱۷۰ هزار روتر (بیشترشان در برزیل) کانفیگ را عوض کرده بود تا در صفحه‌های وبی که کاربران باز می‌کردند، اسکریپت استخراج رمزارز Coinhive تزریق شود. این حفره هنوز در فهرست «حفره‌های در حال سوءاستفاده» آژانس امنیت سایبری آمریکا (CISA) است.
درس: وصله زود آمد، مشکل آپدیت نکردن بود. و پورت Winbox نباید از اینترنت باز باشد.
۲۰۲۱: بات‌نت Meris، روترهایی که آپدیت شده بودند
در شهریور ۱۴۰۰ بات‌نتی به نام Mēris رکورد بزرگ‌ترین حمله‌های DDoS آن زمان را شکست، و تقریباً همهٔ دستگاه‌هایش روتر میکروتیک بودند. میکروتیک اعلام کرد این روترها حفرهٔ تازه‌ای نداشتند: در ۲۰۱۸ با همان CVE-2018-14847 هک شده بودند. خیلی‌هایشان بعداً آپدیت شده بودند، ولی رمز مدیرشان عوض نشده بود، پس مهاجم با همان رمز دزدیده‌شده دوباره وارد می‌شد. جملهٔ میکروتیک خلاصهٔ ماجراست: «اگر کسی در ۲۰۱۸ رمز شما را برداشته، فقط آپدیت کمکی نمی‌کند.»
درس: بعد از هر حفره‌ای که رمز را لو می‌دهد، آپدیت و عوض کردن رمز، و بررسی کاربرها و Schedulerهای ناشناس. روشش در مقالهٔ تشخیص و پاک‌سازی آمده است.
۲۰۲۳: CVE-2023-30799، از admin تا super-admin
این حفره به کسی که رمز یک کاربر admin را داشت اجازه می‌داد روی Winbox یا HTTP دسترسی‌اش را به «super-admin» برساند و کد دلخواه روی سیستم‌عامل زیرین اجرا کند؛ سطحی که حتی مدیر عادی ندارد. رفعش مهر ۱۴۰۱ در 6.49.7 (Stable) آمد، ولی شاخهٔ Long-term تا تیر ۱۴۰۲ (6.49.8) منتظر ماند. وقتی جزئیات منتشر شد، برآوردها از ۵۰۰ هزار تا ۹۰۰ هزار دستگاه در معرض خطر حکایت داشت.
درس: کاربر admin با رمز پیش‌فرض یا ضعیف، همراه با یک حفرهٔ «بعد از ورود»، یعنی دسترسی کامل. و Long-term همیشه زودتر وصله نمی‌گیرد.
۲۰۲۶: MikroTrick، حمله از طریق SSH
شهریور ۱۴۰۵، CERT لهستان (CERT Polska) شش حفره را با نام کلی MikroTrick گزارش داد. مهم‌ترینشان CVE-2026-67279 بود: اجرای دستور روی SSH بدون ورود، که میکروتیک تأیید کرد در حملهٔ واقعی از آن سوءاستفاده شده است. مهاجم‌ها با زنجیرهٔ دو حفره، روی روترهایی که SSHشان از اینترنت باز بود کاربری با نام ops و دسترسی کامل می‌ساختند. حفره‌های دیگر این مجموعه:
- CVE-2026-86060 و CVE-2026-67276: دسترسی بیشتر از حد با نام کاربری دست‌کاری‌شده، و ورود با کلید عمومی بدون داشتن کلید خصوصی.
- CVE-2026-67281: خواندن فایل‌ها، از جمله فایل رمزها، از WebFig بدون ورود (فقط 7.20 به بعد).
- CVE-2026-67278: پذیرفتن گواهی TLS و کلید میزبان SSH جعلی.
- CVE-2026-67277: از کار انداختن روتر با سرویس Bandwidth test.
رفع اول در 7.24.2، 7.23.4 و 6.49.21 آمد، ولی رفع CVE-2026-67278 ناقص بود و کامل شدنش 7.24.3 و 7.23.6 را لازم داشت؛ یعنی کسانی که یک بار آپدیت کرده بودند، باید دوباره آپدیت می‌کردند. میکروتیک همراه با این وصله، وضعیت «Flagged» را هم اضافه کرد: روتر موقع بالا آمدن کانفیگ را برای نشانه‌های نفوذ بررسی می‌کند.
درس: SSH هم مثل Winbox نباید از اینترنت باز باشد. و بعد از آپدیت، اطلاعیه‌ها را تا آخر دنبال کنید؛ گاهی وصلهٔ اول کامل نیست.
مهر و آبان ۱۴۰۵: حفره‌های تازه
| CVE | کجا | چه می‌کند | رفع در |
|---|---|---|---|
| CVE-2026-84411 (بحرانی) | WebFig (www و www-ssl) | اجرای کد با دسترسی کامل، بدون ورود | 7.24 · 7.23.8 · 6.49.23 |
| CVE-2026-89020 | /tool fetch | از کار انداختن fetch؛ با هر کاربر، حتی read-only | 7.24.2 · 7.23.4 · 6.49.21 |
| CVE-2026-89021 | Container | نوشتن و پاک کردن فایل بیرون از کانتینر با یک image دست‌کاری‌شده | فقط 7.24.2 Stable |
| CVE-2026-88464 | SNMP | از کار انداختن SNMP با یک درخواست؛ فقط community string لازم است | 7.24 · 7.23.3 |
| CVE-2026-98432 | هستهٔ لینوکس (TCP روی IPv4) | ناپایداری یا ری‌استارت روتر؛ نسخهٔ ۶ آسیب‌پذیر نیست | 7.25.1 · 7.24.6 |
جمع‌بندی: پنج درس از ده سال حفره
- سرویس مدیریتی را به اینترنت باز نکنید. تقریباً همهٔ این حمله‌ها از Winbox، SSH یا WebFig باز شروع شدند. برای مدیریت راه دور از VPN (مثل WireGuard) استفاده کنید.
- زود آپدیت کنید. در بیشتر این موارد وصله آماده بود؛ قربانی‌ها روترهای آپدیت‌نشده بودند. روش آپدیت امن
- بعد از حفره‌ای که رمز را لو می‌دهد، رمز را عوض کنید. درس Meris.
- سرویس‌هایی که لازم ندارید خاموش باشند. WebFig، Bandwidth test، SNMP و Container هر کدام یک بار راه نفوذ بوده‌اند. چک‌لیست امن‌سازی
- اطلاعیه‌ها را دنبال کنید. صفحهٔ supportsec میکروتیک و انجمن رسمی، اولین جایی است که خبر می‌آید.
منابع
- MikroTik — Security advisories mikrotik.com/supportsec
- MikroTik — September 2026 vulnerability (MikroTrick) mikrotik.com/supportsec/september-2026-vulnerability
- MikroTik — CVE-2026-84411 mikrotik.com/supportsec/cve-2026-84411
- CERT Polska — Vulnerabilities in MikroTik RouterOS actively exploited cert.pl/en/posts/2026/09/vulnerabilities-in-mikrotik-routeros-actively-exploited
- NVD — CVE-2018-14847 nvd.nist.gov/vuln/detail/CVE-2018-14847
- NVD — CVE-2023-30799 nvd.nist.gov/vuln/detail/CVE-2023-30799
- NVD — CVE-2017-20149 (Chimay-Red) nvd.nist.gov/vuln/detail/CVE-2017-20149
- MikroTik forum — Mēris botnet information forum.mikrotik.com/t/meris-botnet-information/151776