MikroTrick PoC — CVE-2026-86060 (استيلاء كامل غير مُصادَق عليه على RouterOS)

poc_mikrotrick.py هو استغلال قائم بذاته لسلسلة هجمات SSH التي أفصحت عنها CERT Polska باسم "MikroTrick" في 2026-09-05، والتي يجري استغلالها في البرية منذ 2026-09-02 على الأقل ضد أجهزة MikroTik RouterOS المتصلة بالإنترنت. تشغيل واحد يحوّل اتصال SSH غير مُصادَق عليه إلى وحدة تحكم مسؤول كاملة. لا بيانات اعتماد، ولا تفاعل من المستخدم.

الثغرات الثلاث CVE

يلزم عيب إضافي غير مُسمّى في الحالة: محاولة تسجيل دخول مرفوضة تترك اسم المستخدم معلّقًا في حالة جلسة الخادم. يعتمد الاستغلال عليه في الخطوة 1 أدناه. تُغلق تصحيحات MikroTik (2026-09-03) السلسلة بأكملها.

كيف يعمل الاستغلال

1. اسم مستخدم معلّق. يحاول العميل مصادقة كلمة المرور باسم المستخدم -2. يرفضه الخادم لكنه يتركه معلّقًا في حالة الجلسة. هذا هو أول مؤشر اختراق (IoC) للحملة: login failure for user -2.
2. إعادة تبادل المفاتيح قبل المصادقة (CVE-2026-67279). إعادة تبادل المفاتيح قبل اكتمال المصادقة تجعل الخادم يُسقط بوابة المصادقة الخاصة به.
3. فتح القناة + PTY. تُفتح قناة جلسة دون مصادقة، وتُشغّل الصدفة التفاعلية مساعد تسجيل الدخول مع -2 المعلّق.
4. تبديل قناع السياسات (CVE-2026-86060). يقرأ مساعد تسجيل الدخول حتى 4096 بايت من واصف الملف 2 ويقسّمها على NUL إلى هوية بديلة وقناع سياسات. يرسل الاستغلال قناعًا كله آحاد، فيُقيّده RouterOS إلى مجموعة السياسات الكاملة. تنشأ الجلسة كمسؤول كامل؛ وتُسجَّل الإجراءات اللاحقة باسم ssh:-2@<ip>، وهي بصمة الحملة.

يزرع الاستغلال حساب اختبار كامل الصلاحيات (hacker / hacker)، ويطبع أمر تسجيل الدخول، ثم يخرج. (وحدة التحكم المُستغَلَّة نفسها غير مستقرة — فإعادة تبادل مفاتيح لاحقة تُعيد تسليح بوابة المصادقة وتموت القناة — لذا فإن تسجيل دخول SSH عادي هو المسار الدائم.)

الاستخدام

python3 poc_mikrotrick.py <host>                  # plant hacker account, print ssh login
python3 poc_mikrotrick.py <host> "<ros command>"  # run one command, exit

المتطلب: python3-paramiko. السكربت عميل مختبري ويرفض الأهداف ذات عناوين IP غير الخاصة.

الإصدارات المتأثرة والمُصلَّحة

• عرضة للثغرة: RouterOS [7.24, 7.24.2), [7.0.0, 7.23.4), [6.0.0, 6.49.21)
• مُصلَّحة: 7.25beta3, 7.24.2, 7.23.4, 6.49.21
• مُختبرة: CHR 7.23.3 (قابلة للاستغلال) مقابل CHR 7.23.4 (يفشل الاستغلال بشكل صحيح). حتمي عبر التشغيلات المتكررة.

الكشف

• سطر السجل login failure for user -2 via ssh
• أسطر السجل user <name> added by ssh:-2@<ip>
• حساب غير معروف عالي الصلاحيات ops
• /system/device-mode/print يُظهر علامة "Flagged" (غيابها لا يثبت شيئًا)

إذا ظهر أي من هذه على جهاز، فتعامل معه على أنه مخترق: اعزله، وطبّق التصحيح، وراجع جميع المستخدمين والسكربتات ومهام المجدول والأنفاق.

المراجع

• إفصاح CERT Polska
• نشرة MikroTik الأمنية (2026-09-03)
• CISA Known Exploited Vulnerabilities: CVE-2026-86060, CVE-2026-67277 (أُضيفت 2026-09-10)

قانوني

شغّل هذا فقط ضد نسخ RouterOS التي تملكها أو لديك تفويض صريح باختبارها. مهاجمة أجهزة لا تملكها جريمة.