إذا كنت تدير راوتر MikroTik لربط الفروع عبر VPN، أو للفايروول، أو كبوابة توجيه رئيسية، فقد مررت بستة أسابيع صعبة. ثلاث ثغرات منفصلة ضربت RouterOS بين أواخر يوليو وأوائل سبتمبر 2026، وواحدة منها تتيح لمهاجم بصلاحيات API منخفضة فقط أن يستخرج مفتاح WireGuard الخاص بك كنص صريح. هذه ليست ثغرة تقول "حدّثها متى ما ارتحت". هذه ثغرة تقول "توقف عن القراءة الآن واذهب تحقق من نسختك".

الجدول الزمني: ثلاثة إعلانات، ستة أسابيع، API واحد

لم تكن هذه رقعة سيئة واحدة. كانت نمطًا متكررًا. في 28 يوليو 2026 نشرت CISA النشرة ICSA-26-209-05 التي تغطي CVE-2026-16347، وهي خلل في طريقة تعامل RouterOS API مع المصادقة. بعد يومين فقط، في 30 يوليو، أصدرت CISA نشرة أخرى ICSA-26-211-01 لمشكلة مختلفة تمامًا، CVE-2026-14227، وهي ضعف في إدارة الجلسات. ثم بعد أكثر من شهر بقليل، في 3 سبتمبر 2026، أصدرت MikroTik نفسها إشعارًا جديدًا لثغرة ثالثة ومنفصلة تمامًا — هذه المرة دون نشر التفاصيل التقنية مسبقًا، وبقصد واضح.

ثلاث نشرات خلال ستة أسابيع، وكلها تمس نفس النظام الفرعي: RouterOS API. إذا كانت خدمة API مفعّلة على راوترك — وهي مفعّلة في كثير من الأجهزة لأن Winbox وتطبيقات الجوال وأدوات الإدارة من طرف ثالث تعتمد عليها — فهذا هو الجزء من جهازك الذي قضى صيفًا عصيبًا.

CVE-2026-16347: الـ API لا يعرف معنى "محاولات تسجيل دخول كثيرة"

الثغرة الأولى، وفق نشرة CISA، مباشرة بلا مواربة. مصادقة API في RouterOS "تفتقر لضمانات فعالة ضد محاولات تسجيل الدخول المفرطة"، والنظام يفشل في فرض تحديد معقول لمعدل المحاولات، أو قفل الحساب، أو تقييد حسب المصدر. بمعنى آخر: لا شيء يمنع سكربتًا من قصف الـ API بمحاولات تخمين كلمات مرور طوال اليوم. تقييم CISA لتأثير الثغرة واضح تمامًا كما تتوقع — يمكن للمهاجم تخمين كلمات المرور بسرعة والوصول غير المصرح به. تؤثر هذه الثغرة على منتجات RouterOS و Cloud Hosted Router معًا، وقاعدة عملاء MikroTik عالمية وليست محدودة.

إذا كان API لديك متاحًا من أي مكان خارج شبكة إدارة محكمة الضبط، فهذه الثغرة وحدها كافية لتغلقها اليوم، لا بعد أن تنهي قراءة بقية المقال.

CVE-2026-14227: جلسات لا تعرف أنها انتهت

الثغرة الثانية، التي أُعلنت بعد يومين فقط، أخطر بسبب ما تكشفه. تصفها CISA بأنها ثغرة "انتهاء صلاحية جلسة غير كافٍ" في RouterOS API: الجلسات النشطة تحتفظ بمجموعة صلاحياتها السابقة حتى بعد انتهاء مهلة عدم النشاط أو تغيير مجموعة المستخدم. تحليل مستقل لنفس النشرة يوضح الأمر ببساطة — الجلسة النشطة تحتفظ بالصلاحيات التي أُنشئت بها حتى بعد تخفيض الحساب أو انتهاء المهلة الزمنية. يعني هذا أنك قد تُخفّض صلاحيات مستخدم، أو تبقى جلسة إداري خاملة بعد انتهاء مهلتها، وتبقى الصلاحيات القديمة سارية.

وهنا الجزء الذي يجب أن يوقظ كل مسؤول VPN: تذكر CISA أن الاستغلال الناجح "قد يتيح للمهاجم استخراج مفتاح WireGuard الخاص بالراوتر كنص صريح باستخدام صلاحيات API منخفضة فقط، مما يمكّن من انتحال هوية VPN بالكامل وفك تشفير كل الترافيك المرتبط به." اقرأها مرة أخرى. صلاحيات منخفضة. استخراج مفتاح نصًا صريحًا. انتحال كامل لنقطة نهاية VPN الخاصة بك. هذه ليست ملاحظة هامشية نظرية — هذه سرية نفق site-to-site بالكامل تتلاشى، والمهاجم لا يحتاج صلاحيات إداري ليصل إليها، فقط جلسة قديمة لم تُغلق بشكل صحيح. التقارير المستقلة عن الثغرة تكرر تقريبًا صياغة CISA حرفيًا، وهذا يخبرك بمدى جدية تعامل مجتمع أبحاث الأمن مع هذه الثغرة.

إشعار MikroTik بتاريخ 3 سبتمبر: حدّث أولًا، والتفاصيل لاحقًا

ثم، بعد أقل من شهر من الثغرة الثانية، أصدرت MikroTik إشعارها الخاص في 3 سبتمبر 2026 لثغرة أمنية إضافية في RouterOS. لغة الشركة كانت هادئة بشكل لافت: "معظم الإعدادات ليست عرضة للخطر، لكن التحديث موصى به بشدة." لكن لاحظ ما فعلته MikroTik بشكل مختلف هذه المرة — لم تنشر التفاصيل التقنية. سببها المعلن: "لإتاحة الوقت لتحديث أنظمتكم، لن ننشر حاليًا معلومات مفصّلة." وجّهوا المسؤولين مباشرة إلى قائمة "Check for updates" في RouterOS وطلبوا من الجميع التحديث قبل أن تصبح التفاصيل عامة، وقابلة للاستغلال على الأرجح.

هذه استراتيجية إفصاح مسؤولة، لكنها تعني أيضًا أنك لا تستطيع الانتظار حتى يظهر شرح تقني مفصّل لتقرر إن كانت هذه الثغرة تهمك. بحلول وقت نشر التفاصيل، تكون نافذة الاستغلال قد فُتحت لفترة. التعليمات بسيطة: حدّث الآن، واطرح الأسئلة لاحقًا.

لماذا تضرب هذه الثغرات مسؤولي VPN والفايروول أكثر من غيرهم

إذا كان MikroTik لديك مجرد راوتر منزلي يقوم بـ NAT، فهذه الثغرات الثلاث مزعجة لكن يمكن تحمّلها. أما إذا كان MikroTik هو مركّز VPN بين فروعك، أو حافة الفايروول، أو الجهاز الذي ينهي أنفاق WireGuard بين المكاتب، فهذه مشكلة من فئة مختلفة تمامًا. نموذج أمان WireGuard كله يقوم على مبدأ واحد: أن المفتاح الخاص لا يغادر الجهاز أبدًا. CVE-2026-14227 يكسر هذا الافتراض تحديدًا في إعدادات RouterOS التي يكون فيها API مفعّلًا وإدارة الجلسات مهملة — وهذا، بصراحة، وصف دقيق لكثير من إعدادات الراوترات التي تُضبط مرة واحدة ثم تُنسى. أضف إلى ذلك غياب الحماية من هجمات القوة الغاشمة في CVE-2026-16347، وستحصل على مسارين مستقلين للوصول إلى نفس واجهة API، أحدهما ينتهي بسرقة كاملة لمفتاح VPN.

قائمة تحصين فورية — نفّذها اليوم

• حدّث RouterOS الآن. تحقق من "Check for updates" في WinBox أو WebFig، أو عبر سطر الأوامر (/system package update check-for-updates)، وطبّق أحدث إصدار مستقر لقناتك. هذا يغطي CVE-2026-16347 و CVE-2026-14227 وإصلاح 3 سبتمبر.
• قيّد أو عطّل خدمة API. إذا لم تكن بحاجة فعلية لتفعيل "api" أو "api-ssl" تحت /ip service لأداة إدارة معينة، أطفئها: /ip service disable api,api-ssl. وإذا كنت تحتاجها فعلًا، اربطها بعناوين IP محددة ومسموح بها فقط.
• غيّر مفاتيح WireGuard. إذا كان راوترك يعمل بنسخة متأثرة وكان API مكشوفًا في أي وقت، تعامل مع المفتاح الخاص على أنه ربما مخترق. أعد توليد زوج مفاتيح واجهة WireGuard ووزّع المفتاح العام الجديد على الأطراف المقابلة — لا تفترض أن "عدم وجود دليل على الاختراق" يعني "لا اختراق".
• أنهِ الجلسات القديمة قسرًا. راجع جلسات API/Winbox النشطة عبر /user active print وأغلق أي جلسة لا يجب أن تبقى نشطة، خصوصًا بعد تغيير مجموعة صلاحيات مستخدم.
• تحقق من قواعد الفايروول على واجهة WAN. تأكد أن منافذ API (8728/8729 افتراضيًا) غير متاحة من الإنترنت. هذا يفترض أن يكون الوضع الطبيعي أصلًا، لكن الافتراضات هي ما يجعل هذه الثغرات قابلة للاستغلال.

ضوابط طويلة المدى تستحق التطبيق

التحديث يجعلك محدّثًا، لكنه لا يعالج العادة الأساسية التي جعلت هذا قابلًا للاستغلال من الأصل: التعامل مع API الإدارية وكأنها لا تستحق العزل. ضع API على VLAN إداري مخصص، لا يصل إليه إلا من محطات عمل الإداريين أو عبر jump host — لا من الشبكة المحلية العامة، وبالتأكيد لا من WAN. أضف قواعد فايروول صريحة لتحديد معدل الطلبات على أي واجهة يُسمح فيها بحركة API أو Winbox، حتى داخليًا، حتى لا يستطيع جهاز داخلي مخترق تنفيذ هجوم قوة غاشمة على الراوتر أيضًا. وابنِ عادة مراجعة الجلسات بانتظام — ليس فقط "هل انتهت المهلة الزمنية" بل "هل مستوى صلاحية هذه الجلسة ما زال مطابقًا لمجموعة الحساب الحالية". ثغرة CVE-2026-14227 وُجدت تحديدًا لأن أحدًا لم يكن يتحقق من هذا الجزء الثاني.

إذا كنت تفعّل MFA على تسجيل دخول Odoo أو Active Directory، لكن الراوتر الذي يحمل كل هذا الترافيك يعمل بإعدادات API افتراضية ودون مراجعة جلسات، فأنت تؤمّن الطبقة الخطأ. أصلح الراوتر أولًا — فهو الباب الذي يمر منه كل شيء آخر.

اذهب الآن وتحقق من نسخة RouterOS لديك. إذا كانت سابقة لإصلاح سبتمبر 2026، فلديك عمل يجب إنجازه قبل نهاية اليوم.

المصادر

• CISA ICSA-26-209-05 (CVE-2026-16347)
• CISA ICSA-26-211-01 (CVE-2026-14227)
• MikroTik Security: September 2026 vulnerability
• MikroTik Community Forum: CVE-2026-16347 fix discussion
• Cyber Resilience Act analysis of ICSA-26-211-01
• Tech Times: WireGuard VPN Keys Exposed by MikroTik Session Flaw

مصدر الصورة: jessicafm — BY