محققان امنیتی با استفاده از ابزارهای هوش مصنوعی موفق شدند زنجیره‌ای از حملات را تحت عنوان MikroTrick شناسایی کنند که از طریق ترکیب دو آسیب‌پذیری در سیستم‌عامل RouterOS، امکان دور زدن احراز هویت و دسترسی کامل مدیریتی (Admin Access) را فراهم می‌کند.
جزئیات فنی زنجیره حمله
این حمله از ترکیب دو نقص امنیتی مجزا تشکیل شده است:
- CVE-2026-67279: این آسیب‌پذیری در نحوه مدیریت فرآیند Rekey (بازسازی کلیدهای رمزنگاری در میان جلسه) در پروتکل SSH رخ می‌دهد. اگر این فرآیند پیش از تکمیل احراز هویت اتفاق بیفتد، سرور به اشتباه تصور می‌کند احراز هویت موفقیت‌آمیز بوده و کاربر را به مرحله مدیریت کانال می‌برد.
- CVE-2026-86060: در این مرحله، RouterOS نام کاربری را پیش از تکمیل احراز هویت و بدون پاک‌سازی (Sanitization) مناسب به فرآیند Login ارسال می‌کند. مهاجم می‌تواند به جای نام کاربری، مقدار
-2را ارسال کند. سیستم این مقدار را به عنوان یک Option برای File Descriptor 2 تفسیر می‌کند که توسط مهاجم کنترل می‌شود. با تنظیم Privilege Mask روی مقدار 655358، مهاجم می‌تواند بدون نیاز به رمز عبور یا SSH Key، دسترسی سطح Root را به دست آورد.
نقش هوش مصنوعی در تحلیل سریع
نکته قابل توجه در این مورد، سرعت تحلیل است. محققان CERT Polska با استفاده از مدل‌های پیشرفته AI (از جمله GPT-5.5-cyber و GPT-5.6-sol) توانستند در کمتر از چند روز پس از انتشار وصله‌های امنیتی MikroTik، کدها را با روش Diffing تحلیل کرده و زنجیره حمله را بازسازی کنند. این موضوع نشان می‌دهد که ابزارهای LLM سرعت مهندسی معکوس (Reverse Engineering) وصله‌ها را به شدت افزایش داده‌اند و فاصله زمانی بین انتشار Patch و افشای جزئیات فنی آسیب‌پذیری را به حداقل رسانده‌اند.
شواهد بهره‌برداری در دنیای واقعی
گزارش‌ها حاکی از آن است که MikroTrick پیش از انتشار وصله‌ها در محیط‌های عملیاتی استفاده شده است. در لاگ‌های بسیاری از دستگاه‌های قربانی، الگوی مشابهی مشاهده شده است: یک تلاش ناموفق برای ورود با نام کاربری -2 و بلافاصله پس از آن، ایجاد یک حساب کاربری با دسترسی کامل به نام ops. همچنین آدرس IP 82.192.72.4 به عنوان یکی از منابع فعال در این حملات شناسایی شده است.
توصیه‌های امنیتی
با توجه به اینکه CISA این آسیب‌پذیری‌ها را در فهرست Known Exploited Vulnerabilities قرار داده و کدهای Exploit آن در حال گردش است، تمامی مدیران شبکه و SOC باید فوراً اقدامات زیر را انجام دهند:
- به‌روزرسانی سریع RouterOS به آخرین نسخه منتشر شده.
- بررسی لاگ‌های سیستم برای شناسایی تلاش‌های ورود با نام کاربری
-2. - محدود کردن دسترسی SSH به IPهای مورد اعتماد و عدم قرار دادن مستقیم پورت SSH در معرض اینترنت.
