脅威アクターがMikroTik RouterOSに存在する複数の重大な脆弱性群（通称「MikroTrick」）を積極的に悪用し、インターネットに公開されたルーターを侵害して管理者権限を完全に掌握する攻撃が確認されています。
この攻撃は主に、公開ネットワークに露出したSSH管理アクセスを有するデバイスを標的としており、MikroTik、CERT Polska、そしてラトビアの国家CERTであるCERT.LVが早急なパッチ適用を呼びかけています。
9月3日、MikroTikはセキュリティアップデートを発表し、必要な修正を含むRouterOSのバージョンがサポートされているチャンネルを通じて既に提供されていることを明らかにしました。
Securityawareness training
ベンダー側は、大半の構成では直ちに危険にさらされるわけではないとしながらも、すべてのユーザーに対してデバイスの更新を強く推奨しています。影響を受けるコンポーネントには、RouterOSのSSHサーバーおよびクライアント、帯域幅テストサービス、X.509証明書の処理、そしてWebFig管理インターフェースが含まれます。
重大なSSH攻撃チェーン
CERT Polskaの調査により、RouterOSに存在する6件の脆弱性が特定されました。そのうち2件は重大なSSHの欠陥で、これらを連鎖させることで認証なしにデバイスを完全に乗っ取ることが可能になります。
1つ目の脆弱性はCVE-2026-67276として追跡されており、CVSSスコアは9.2で、SSH認証バイパスの問題です。RouterOSは、SSH認証時に割り当てられた鍵の内容を完全に比較しないという不備により、RSA公開鍵の検証を誤って行っていました。
攻撃者がユーザー名と、そのユーザーの鍵の公開モジュラスを把握していれば、正規の秘密鍵を所持していなくても別の鍵を構築して認証を通過でき、結果として標的アカウントに割り当てられた権限を引き継ぐことができます。
2つ目の脆弱性であるCVE-2026-86060も同じく9.2と評価されており、RouterOSが特別に細工されたSSHユーザー名を処理する方法に影響します。禁止されている文字で始まるユーザー名が適切に処理されない不備を悪用することで、攻撃者はセッション権限を操作し、影響を受けるRouterOSデバイスに対して完全な管理者アクセス権を取得できます。
これらの脆弱性を組み合わせることで、SSHサービスをインターネットに公開しているルーターにとって重大なリスクが生じます。CERT.LVは、ラトビア国内で公開アクセス可能なRouterOSデバイスを標的とした攻撃の増加を報告しており、攻撃者がこの脆弱性の組み合わせを悪用して脆弱なシステムの制御を奪うことに成功した事例があるとしています。
3つ目の重大な問題であるCVE-2026-67277は、CVSSスコア8.8で、RouterOSの帯域幅テストサービスに影響します。この脆弱性により、認証されていない接続が、通常はログイン済みユーザー専用の状態に到達できてしまう可能性があります。
これは、初期化されていないパケットバッファのデータ漏えいや、サイズ検証時の整数アンダーフローに関する別個の問題と組み合わさることで、カーネルメモリを露出させたり、ルーターを再起動させるリモートサービス拒否（DoS）状態を引き起こしたりする可能性があります。
これらの脆弱性は単独では管理者権限の乗っ取りにはつながりませんが、未パッチのRouterOS展開の攻撃対象領域を拡大させる要因となります。
MikroTikはRouterOSバージョン7.25beta3、7.24.2、7.23.4、6.49.21で修正パッチをリリースしました。同社によると、更新済みのデバイスは起動時に、既知の侵害の痕跡（IoC）がないか構成を自動的にチェックするとしています。
パッチ適用済みのRouterOSバージョンは、既知の不審な構成変更を検出した場合、デバイスに「Flagged（フラグ付き）」ステータスを付与できます。この仕組みによって、検出された悪意のあるエントリが無効化され、重大イベントとしてログに記録され、Flagged警告が有効化されます。
ただし、MikroTikとCERT.LVは、Flaggedとマークされていないルーターを必ずしも安全であると断定すべきではないと強調しています。
侵害の痕跡としては、以下のようなログメッセージが挙げられます。
- 「login failure for user -2 from via ssh」
- 「user added by ssh:-2@」
- 「ops」という名前の強い権限を持つアカウント
CERT Polskaは、「ops」アカウントの作成を含む悪用の成功事例を、IPアドレス82.192.72.4に関連付けています。また、別のIPアドレスである103.102.31.18も、この攻撃チェーンの悪用を試みていることが確認されています。
管理者は速やかにRouterOSを更新するとともに、不正なユーザー、スクリプト、スケジュールされたタスク、プロキシ、トンネル、その他の構成変更がないかデバイスを点検する必要があります。Flagged状態は、次のコマンドで確認できます。`/system/device-mode/print`
直ちにパッチを適用できない組織は、SSH、WWW/WWW-SSL、帯域幅テストサービスへの一般公開アクセスを制限するか、信頼できる管理ネットワークのみへのアクセスに限定すべきです。また、組み込みのSSHクライアントの使用や、未パッチのデバイスから信頼できないネットワーク経由でTLS接続を開始することも避けるべきです。
侵害が疑われる場合、管理者はルーターを隔離し、ログと構成の証拠を保全した上で、診断用のSupout.rifファイルを生成し、デバイスを工場出荷時の状態にリセットして、信頼できる構成から再構築する必要があります。
さらに、すべてのパスワード、鍵、シークレットをローテーションすべきです。侵害の可能性があるルーターから完全なバックアップを復元してはいけません。
Keep your SOC up to date on active malware & phishing within 24h of their emergence. Try ANYRUN to prevent incidents with early detection.
翻訳元: https://gbhackers.com/hackers-actively-exploiting-mikrotik-routeros-mikrotrick-flaws/
