חולשה חמורה בתוכנת ראוטרים מאפשרת השתלטות מלאה על המכשיר בבית

הראוטר שמהבהב בפינת הסלון נראה כמו קופסה שעושה דבר אחד. בפועל זה מחשב קטן שמחובר לאינטרנט בלי הפסקה, וכל מה שקורה בבית עובר דרכו: הטלפון, הטלוויזיה, מצלמת האבטחה, המחשב שאיתו עובדים מהבית. השבוע פרסמו מפתחי OpenWrt, תוכנת ראוטרים חופשית שרצה על חלק מהמכשירים בשוק, חולשה שמאפשרת לתוקף להשתלט על הראוטר לגמרי.

מה קרה

כדי לחבר מכשירים לרשת, הראוטר מחלק להם כתובות באופן אוטומטי דרך שירות קטן שרץ עליו כל הזמן. החוקרים גילו שאפשר לשלוח לשירות הזה בקשה שבנויה בזדון, כזו שגורמת לו לדרוס אזור בזיכרון, ומשם להריץ קוד משלך על הראוטר עם ההרשאות הגבוהות ביותר, root. לרכיב קוראים odhcpd, והוא מטפל בכתובות מסוג DHCPv6, והחולשה מסומנת CVE-2026-53921. הציון שקיבלה הוא 9.8 מתוך 10, כמעט המקסימום. היא נוגעת לגרסאות OpenWrt שלפני 24.10.8 ו-25.12.5, ותוקנה בשתי הגרסאות האלה.

חשוב לומר גם מה שעדיין לא קרה. נכון לעכשיו לא דווח על ניצול של החולשה בשטח, והיא לא מופיעה ברשימת החולשות המנוצלות של סוכנות הסייבר האמריקאית CISA. גם התוקף צריך גישה לרשת של הראוטר, כלומר מישהו שכבר מחובר ל-Wi-Fi שלכם או מכשיר נגוע שיושב בבית, ולא כל גורם אקראי מהאינטרנט הפתוח.

למה זה חשוב לכם

רוב האנשים מתקינים ראוטר פעם אחת ולא נוגעים בו שוב, וזה בדיוק ההבדל בינו לבין הטלפון: את הטלפון מעדכנים, את הראוטר כמעט אף אחד לא. מי שמשתלט על הראוטר יושב על הצומת שדרכו עובר הכול, ויכול להפנות אתכם לאתרים מזויפים בלי שתשימו לב, לצותת לתעבורה, או לגייס את המכשיר לרשת תקיפה שמפעילים פושעים.

OpenWrt עצמה רצה בעיקר על ראוטרים של חובבי טכנולוגיה, על חלק מראוטרי הנסיעות הקטנים ועל הרכבות ביתיות, ולא על הראוטר שקיבלתם מבזק או מ-HOT, שרץ בדרך כלל על תוכנה של הספק. אבל העיקרון זהה לכל דגם: ראוטר הוא מחשב, ותוכנה מיושנת עליו היא דלת פתוחה.

מה עושים?

אם אתם יודעים שהראוטר שלכם מריץ OpenWrt, עדכנו אותו לגרסה 24.10.8 או 25.12.5 דרך ממשק הניהול, וזה סוגר את החולשה.

לכל השאר, זו הזדמנות לעשות משהו שכמעט אף אחד לא עושה: היכנסו לממשק הניהול של הראוטר (בדרך כלל מקלידים בדפדפן כתובת כמו 192.168.1.1) ובדקו אם מחכה עדכון תוכנה. אם יש אפשרות לעדכון אוטומטי, הפעילו אותה.

אל תחשפו את ממשק הניהול של הראוטר לאינטרנט. אם אינכם יודעים מה זה אומר, כנראה שהוא ממילא סגור, וזה טוב.

ראוטר שהיצרן כבר לא מוציא לו עדכונים, בדרך כלל אחרי כמה שנים, שווה להחליף. מכשיר שלא מקבל טלאים נשאר חשוף לכל חולשה חדשה שתתגלה מהיום והלאה.

הטלפון בכיס מזכיר לכם לעדכן. הראוטר לא יזכיר, ובדיוק בגלל זה כדאי לבדוק אותו מדי פעם ביוזמתכם.