در روزهای اخیر، MikroTik یک آسیبپذیری امنیتی در RouterOS شناسایی کرده و نسخههای جدیدی از سیستمعامل خود را با اصلاح این مشکل منتشر کرده است. این شرکت در اطلاعیه رسمی خود اعلام کرده که اگرچه بیشتر پیکربندیها در معرض خطر فوری قرار ندارند، اما بهروزرسانی RouterOS برای همه کاربران بهشدت توصیه میشود.
MikroTik همچنین اعلام کرده که در حال حاضر جزئیات فنی کامل این آسیبپذیری را منتشر نمیکند تا به کاربران فرصت کافی برای بهروزرسانی تجهیزات خود داده شود. بنابراین، اگر از روترهای MikroTik در شبکه سازمانی، دیتاسنتر، زیرساخت سرورها، شرکت یا حتی شبکه خانگی استفاده میکنید، بهتر است بررسی نسخه RouterOS و انجام آپدیت امنیتی MikroTik را در اولویت قرار دهید.
در این مقاله بررسی میکنیم این هشدار امنیتی به چه معناست، کدام نسخههای RouterOS شامل اصلاحیه هستند، چگونه روتر MikroTik را بهروزرسانی کنیم و بعد از Update چه مواردی را برای اطمینان از امنیت دستگاه باید بررسی کنیم.
آسیبپذیری امنیتی MikroTik چیست؟
MikroTik در اطلاعیه امنیتی منتشرشده در سپتامبر ۲۰۲۶ اعلام کرده که یک آسیبپذیری امنیتی در RouterOS شناسایی شده است. نسخههایی که شامل اصلاحیه امنیتی هستند منتشر شدهاند و کاربران باید در سریعترین زمان ممکن تجهیزات خود را به نسخه مناسب ارتقا دهند.
نکته مهم این است که MikroTik هنوز جزئیات فنی کامل این آسیبپذیری را منتشر نکرده است. این تصمیم با هدف ایجاد فرصت برای کاربران جهت نصب نسخههای اصلاحشده گرفته شده است.
بنابراین در حال حاضر نباید بر اساس نبود جزئیات فنی تصور کنیم که این آسیبپذیری اهمیت زیادی ندارد. برعکس، وقتی سازنده یک Security Update منتشر میکند و صراحتاً انجام Upgrade را توصیه میکند، مدیران شبکه باید آن را بهعنوان یک اقدام امنیتی در نظر بگیرند.
MikroTik همچنین در انجمن رسمی خود تأکید کرده که تأخیر در بهروزرسانی میتواند ریسک به خطر افتادن تجهیزات را افزایش دهد.
آیا این آسیبپذیری به معنی هک شدن MikroTik من است؟
خیر.
وجود این آسیبپذیری به این معنی نیست که تمام تجهیزات MikroTik هک شدهاند یا دستگاه شما حتماً مورد نفوذ قرار گرفته است.
خود MikroTik اعلام کرده که بیشتر پیکربندیها در معرض خطر فوری نیستند و برای کاربران خانگی با تنظیمات پیشفرض، این مشکل ریسک فوری ایجاد نمیکند. با این حال، شرکت همچنان توصیه میکند تمام کاربران RouterOS خود را به نسخههای دارای اصلاحیه ارتقا دهند.
بنابراین باید بین دو موضوع تفاوت قائل شویم:
آسیبپذیر بودن یک نسخه از RouterOS با هک شدن یک دستگاه خاص یکسان نیست.
با این حال، اگر یک دستگاه از نسخه آسیبپذیر استفاده میکند، بهتر است منتظر انتشار جزئیات بیشتر یا مشاهده نشانههای حمله نمانیم و در اولین فرصت آن را به نسخه امن ارتقا دهیم.
کدام نسخههای RouterOS آسیبپذیری را برطرف کردهاند؟
طبق اطلاعیه رسمی MikroTik، اصلاحیه امنیتی در نسخههای زیر قرار گرفته است:
- RouterOS 7.25 beta 3
- RouterOS 7.24.2
- RouterOS 7.23.4
- RouterOS 6.49.21
- و نسخههای جدیدتر
MikroTik تأکید کرده که نسخههای جدیدتر نیز شامل این اصلاحیه هستند.
بنابراین اگر RouterOS شما از نسخهای قدیمیتر از نسخههای بالا استفاده میکند، باید وضعیت دستگاه را بررسی کرده و برای Upgrade برنامهریزی کنید.
نکته مهم درباره RouterOS 6 و RouterOS 7
کاربران باید هنگام انتخاب نسخه جدید، به شاخهای که دستگاهشان استفاده میکند توجه داشته باشند. صرفاً نصب یک نسخه جدیدتر بدون توجه به سازگاری RouterOS و سختافزار ممکن است انتخاب مناسبی برای همه تجهیزات نباشد.
به همین دلیل قبل از Update بهتر است از Configuration دستگاه Backup تهیه کنید و نسخه مناسب را بر اساس مدل روتر و شاخه RouterOS انتخاب کنید.
چرا بهروزرسانی RouterOS فوری است؟
وقتی یک آسیبپذیری امنیتی در یک نرمافزار شبکهای شناسایی میشود، زمان اهمیت زیادی پیدا میکند.
روتر MikroTik در بسیاری از زیرساختها در نقطه ورودی یا خروجی شبکه قرار دارد. بنابراین اگر یک مهاجم بتواند از یک آسیبپذیری برای دسترسی غیرمجاز استفاده کند، احتمال دارد دسترسی او به بخشی از زیرساخت شبکه نیز گسترش پیدا کند.
البته نباید بدون مدرک ادعا کرد که آسیبپذیری فعلی حتماً چنین نتیجهای دارد؛ جزئیات فنی کامل این آسیبپذیری هنوز توسط MikroTik منتشر نشده است.
اما از دیدگاه مدیریت امنیت، یک اصل ساده وجود دارد:
وقتی نسخه اصلاحشده منتشر شده است، ادامه استفاده از نسخه آسیبپذیر ریسک غیرضروری ایجاد میکند.
به همین دلیل MikroTik نیز انجام Update را بهشدت توصیه کرده است.
چگونه RouterOS را بهروزرسانی کنیم؟
یکی از سادهترین روشها برای بررسی و نصب Update، استفاده از قابلیت داخلی Check for Updates در RouterOS است.
در رابط مدیریتی دستگاه میتوانید وارد بخش مربوط به Update شوید و نسخه موجود را بررسی کنید.
فرآیند کلی به این شکل است:
- وارد WinBox یا رابط مدیریتی RouterOS شوید.
- بخش System را باز کنید.
- وارد قسمت Packages شوید.
- گزینه Check For Updates را انتخاب کنید.
- نسخه پیشنهادی را بررسی کنید.
- در صورت سازگاری، Update را دانلود و نصب کنید.
- پس از نصب، دستگاه Restart خواهد شد.
- بعد از بالا آمدن RouterOS، وضعیت Log و Configuration را بررسی کنید.
MikroTik نیز اعلام کرده است که دستگاه باید از طریق گزینه Check for updates امکان دریافت نسخه اصلاحشده را در اختیار کاربر قرار دهد.
قبل از Update MikroTik چه کارهایی انجام دهیم؟
اگر روتر در یک محیط حساس مانند دیتاسنتر، شرکت، شبکه سازمانی یا زیرساخت سرورها قرار دارد، بهتر است قبل از بهروزرسانی چند اقدام احتیاطی انجام شود.
۱. از Configuration نسخه پشتیبان بگیرید
قبل از هر Upgrade مهم، Backup تهیه کنید تا در صورت بروز مشکل امکان بازگردانی تنظیمات وجود داشته باشد.
۲. زمان مناسب برای Restart را مشخص کنید
بهروزرسانی RouterOS ممکن است باعث Restart دستگاه شود. بنابراین در شبکههای Production بهتر است Update در زمان Maintenance Window انجام شود.
۳. دسترسی جایگزین داشته باشید
اگر روتر از راه دور مدیریت میشود، قبل از Update مطمئن شوید در صورت قطع شدن دسترسی اصلی، روش دیگری برای دسترسی مدیریتی دارید.
۴. نسخه RouterOS را ثبت کنید
قبل از Update نسخه فعلی، مدل دستگاه و وضعیت Configuration را ثبت کنید تا در صورت بروز مشکل بتوانید تغییرات را دقیقتر بررسی کنید.
بعد از بهروزرسانی MikroTik چه کاری انجام دهیم؟
یکی از مهمترین بخشهای اطلاعیه MikroTik مربوط به بعد از Upgrade است.
RouterOS پس از بهروزرسانی، وضعیت دستگاه را بررسی میکند و در صورت شناسایی نشانههایی از Compromise یا دستکاری غیرمجاز، ممکن است دستگاه را در وضعیت Flagged قرار دهد.
این وضعیت در Log دستگاه ثبت میشود. اگر یک ورودی Critical مشاهده کردید که نشان میدهد دستگاه Flagged شده است، باید موضوع را جدی گرفته و Configuration دستگاه را بهطور کامل بررسی کنید.
وضعیت Flagged در MikroTik چیست؟
Flagged یکی از مکانیزمهای امنیتی RouterOS برای شناسایی نشانههای دسترسی غیرمجاز یا تغییرات مشکوک در سیستم است.
مستندات MikroTik توضیح میدهند که RouterOS میتواند Configuration دستگاه را بررسی کند و اگر نشانههایی از دستکاری یا دسترسی غیرمجاز پیدا شود، وضعیت flagged=yes را فعال کند.
در حالت Flagged، برخی قابلیتها و تغییرات Configuration محدود میشوند تا مدیر شبکه فرصت بررسی وضعیت دستگاه را داشته باشد.
بنابراین مشاهده Flagged نباید صرفاً یک پیام ساده در نظر گرفته شود.
Flagged یک هشدار امنیتی جدی است.
اگر MikroTik در وضعیت Flagged قرار گرفت چه کنیم؟
اگر بعد از Update با وضعیت Flagged مواجه شدید، اولین کار این نیست که فقط Flag را غیرفعال کنید.
طبق مستندات MikroTik، در چنین شرایطی باید فرض کنید دستگاه ممکن است Compromise شده باشد و قبل از بازگرداندن وضعیت عادی، یک بررسی کامل امنیتی انجام دهید.
موارد زیر را بررسی کنید:
کاربران RouterOS
لیست Userها را بررسی کنید و ببینید آیا حساب کاربری ناشناختهای ایجاد شده است یا خیر.
Scriptها
Scriptهای موجود در RouterOS را بررسی کنید.
وجود یک Script ناشناخته یا Scriptی که توسط مدیر شبکه ایجاد نشده است، میتواند نیازمند بررسی بیشتر باشد.
Scheduler
Scheduled Taskها را بررسی کنید.
یک مهاجم ممکن است از Scheduler برای اجرای دورهای یک دستور یا Script استفاده کرده باشد.
Firewall
Ruleهای Firewall را بررسی کنید و تغییرات غیرمنتظره را پیدا کنید.
NAT
Port Forwardingها و Ruleهای NAT را بررسی کنید تا مشخص شود آیا دسترسی جدیدی بدون اطلاع مدیر شبکه ایجاد شده است یا خیر.
سرویسهای مدیریتی
سرویسهایی مانند WinBox، SSH، WebFig و سایر سرویسهای مدیریتی را بررسی کنید و مطمئن شوید دسترسی آنها فقط از شبکهها یا IPهای موردنیاز امکانپذیر است.
حتی اگر Flagged نبود، Configuration را بررسی کنید
یکی از نکات مهم اطلاعیه MikroTik این است که Flagged نبودن دستگاه به معنی بینیازی از بررسی Configuration نیست.
خود MikroTik توصیه کرده است که حتی اگر دستگاه Flagged نشده باشد، کاربران Configuration را برای پیدا کردن User، Script یا تنظیمات ناشناخته بررسی کنند.
بنابراین بعد از Update این موارد را بررسی کنید:
- Userهای ناشناس
- Scriptهای ناشناس
- Schedulerهای ناشناس
- Firewall Ruleهای جدید
- NAT Ruleهای ناشناخته
- تغییرات DNS
- تغییرات سرویسهای مدیریتی
- تغییرات دسترسی کاربران
- تنظیمات VPN ناشناخته
- Port Forwardingهای غیرمنتظره
- Configurationهایی که توسط مدیر شبکه ایجاد نشدهاند
از کجا بفهمیم MikroTik هک شده است؟
هیچ نشانه واحدی وجود ندارد که بهتنهایی بتواند هک شدن RouterOS را اثبات کند.
اما چند مورد میتواند نیازمند بررسی امنیتی باشد:
ایجاد User ناشناس
اگر کاربری در RouterOS وجود دارد که مدیر شبکه آن را ایجاد نکرده، باید علت آن بررسی شود.
وجود Script ناشناخته
Scriptهایی که بدون اطلاع مدیر شبکه ایجاد شدهاند، مخصوصاً اگر وظایف غیرعادی انجام دهند، باید بررسی شوند.
Scheduler ناشناس
وجود Taskهای زمانبندیشدهای که کسی در شبکه آنها را ایجاد نکرده است، یک علامت هشدار محسوب میشود.
تغییر Firewall
Ruleهای جدید یا تغییرات غیرمنتظره در Firewall میتوانند نشانه دستکاری Configuration باشند.
تغییر NAT
Port Forwarding ناشناخته میتواند باعث ایجاد یک مسیر دسترسی غیرمنتظره به سرویسهای داخلی شود.
تغییر سرویسهای مدیریتی
فعال شدن سرویسهای مدیریتی غیرضروری یا باز شدن دسترسی آنها از اینترنت، وضعیت امنیتی روتر را ضعیف میکند.
با این حال، هیچکدام از این موارد بهتنهایی اثبات قطعی نفوذ نیستند و باید در کنار Logها، زمان تغییرات و سایر شواهد بررسی شوند.
آیا MikroTik را نباید مستقیماً روی اینترنت قرار داد؟
یکی از توصیههای مهمی که در بحث مربوط به این آسیبپذیری از طرف MikroTik مطرح شده، محافظت از پورتها و سرویسهای مدیریتی در برابر شبکههای غیرقابل اعتماد است.
MikroTik در انجمن رسمی خود توصیه کرده که پورتهای مدیریتی از شبکههای غیرقابل اعتماد مانند اینترنت محافظت شوند و در شبکههای بزرگ، دسترسی مدیریتی در VLAN جداگانه قرار گیرد. همچنین این شرکت توصیه کرده WinBox، WebFig و SSH مستقیماً در معرض اینترنت قرار نگیرند و برای دسترسی از راه دور از Firewall و VPN امن مانند WireGuard استفاده شود.
این توصیه حتی در شرایطی که امکان Update فوری وجود ندارد نیز اهمیت دارد.
به زبان ساده:
Management Interface روتر نباید بدون دلیل از اینترنت قابل دسترسی باشد.
برای افزایش امنیت MikroTik چه کارهایی انجام دهیم؟
بهروزرسانی RouterOS اولین اقدام است، اما امنیت یک روتر فقط به Update محدود نمیشود.
۱. RouterOS را بهروز نگه دارید
نسخههای قدیمی میتوانند شامل آسیبپذیریهای شناختهشده باشند.
۲. دسترسی مدیریتی را محدود کنید
WinBox، SSH و WebFig را فقط برای IPها یا شبکههایی که واقعاً نیاز دارند قابل دسترسی کنید.
۳. از Firewall استفاده کنید
دسترسی مستقیم از اینترنت به سرویسهای مدیریتی را محدود کنید.
۴. از VPN برای مدیریت از راه دور استفاده کنید
به جای باز کردن سرویسهای مدیریتی برای کل اینترنت، از یک VPN امن برای دسترسی مدیریتی استفاده کنید.
۵. کاربران اضافی را حذف کنید
تمام Userهای RouterOS را بررسی کنید و حسابهایی را که دیگر موردنیاز نیستند حذف یا غیرفعال کنید.
۶. رمزهای عبور قوی داشته باشید
برای حسابهای مدیریتی از رمزهای عبور قوی و منحصربهفرد استفاده کنید.
۷. Configuration را بهصورت دورهای Audit کنید
صرفاً زمانی که یک آسیبپذیری منتشر میشود Configuration را بررسی نکنید. Audit دورهای میتواند تغییرات غیرمجاز را سریعتر مشخص کند.
آیا کاربران خانگی هم باید RouterOS را آپدیت کنند؟
بله.
MikroTik اعلام کرده که برای کاربران خانگی با تنظیمات پیشفرض، این مشکل ریسک فوری ایجاد نمیکند؛ اما همچنان توصیه میکند همه کاربران دستگاه خود را بهروزرسانی کنند.
بنابراین اگر از یک روتر MikroTik در خانه استفاده میکنید، بهتر است این هشدار را نادیده نگیرید.
بهخصوص اگر:
- Router شما از اینترنت قابل مدیریت است؛
- سرویسهای مدیریتی روی WAN فعال هستند؛
- تنظیمات سفارشی زیادی روی دستگاه انجام شده؛
- Router مدت زیادی Update نشده است؛
- یا دستگاه در یک شبکه مهم مورد استفاده قرار میگیرد.
چکلیست فوری برای مقابله با آسیبپذیری امنیتی MikroTik
اگر مدیر شبکه هستید، میتوانید این چکلیست را برای تمام تجهیزات MikroTik خود اجرا کنید:
مرحله اول: بررسی نسخه
☐ مدل Router را مشخص کنید
☐ نسخه فعلی RouterOS را بررسی کنید
☐ مشخص کنید دستگاه از کدام Release Branch استفاده میکند
☐ بررسی کنید نسخه شما شامل اصلاحیه امنیتی است یا خیر
مرحله دوم: Backup
☐ از Configuration نسخه پشتیبان تهیه کنید
☐ در صورت نیاز Export تنظیمات بگیرید
☐ دسترسی جایگزین به دستگاه داشته باشید
مرحله سوم: Update
☐ Check for Updates را اجرا کنید
☐ نسخه مناسب را انتخاب کنید
☐ RouterOS را به نسخه دارای Fix ارتقا دهید
☐ Restart دستگاه را بررسی کنید
مرحله چهارم: بررسی امنیتی
☐ Log را بررسی کنید
☐ وضعیت Flagged را بررسی کنید
☐ Userهای ناشناس را بررسی کنید
☐ Scriptها را بررسی کنید
☐ Schedulerها را بررسی کنید
☐ Firewall را بررسی کنید
☐ NAT را بررسی کنید
☐ سرویسهای مدیریتی را بررسی کنید
مرحله پنجم: Hardening
☐ دسترسی WinBox از اینترنت را محدود کنید
☐ دسترسی SSH از اینترنت را محدود کنید
☐ WebFig را در صورت عدم نیاز محدود یا غیرفعال کنید
☐ دسترسی مدیریتی را به شبکه یا IPهای مورداعتماد محدود کنید
☐ برای دسترسی Remote از VPN استفاده کنید
☐ رمزهای عبور مدیریتی را بررسی و در صورت نیاز تغییر دهید
جمعبندی؛ آیا باید همین الان RouterOS را آپدیت کنیم؟
بله.
MikroTik در سپتامبر ۲۰۲۶ یک آسیبپذیری امنیتی در RouterOS اعلام کرده و نسخههای دارای اصلاحیه را منتشر کرده است. این شرکت اعلام کرده که بیشتر Configurationها در معرض خطر فوری نیستند، اما انجام بهروزرسانی امنیتی برای همه کاربران توصیه میشود.
نسخههای اعلامشده شامل:
- 7.25 beta 3
- 7.24.2
- 7.23.4
- 6.49.21
- و نسخههای جدیدتر
هستند.
مهمتر از خود Update، اقداماتی است که بعد از آن انجام میدهید. RouterOS میتواند در صورت شناسایی نشانههای دسترسی غیرمجاز، دستگاه را در وضعیت Flagged قرار دهد. در این شرایط باید Configuration بهصورت کامل بررسی شود و نباید صرفاً با غیرفعال کردن Flag موضوع را تمامشده در نظر گرفت.
حتی اگر دستگاه Flagged نشده باشد، بررسی Userها، Scriptها، Scheduler، Firewall، NAT و سایر بخشهای Configuration یک اقدام امنیتی ضروری است.
در نهایت، بهترین رویکرد این است که بهروزرسانی RouterOS را به تأخیر نیندازید، دسترسی مدیریتی را از اینترنت محدود کنید و Configuration تجهیزات MikroTik را بهصورت دورهای Audit کنید.
برای مشاهده اطلاعیه رسمی، آخرین جزئیات این آسیبپذیری و توصیههای MikroTik میتوانید به صفحه امنیتی رسمی MikroTik مراجعه کنید.
