脅威アクターがMikroTik RouterOSの深刻な脆弱性群「MikroTrick」を積極的に悪用し、インターネットに公開されたルーターを侵害して管理者権限を完全に奪取していることが分かりました。
攻撃は主にSSH管理アクセスを公共ネットワークに公開しているデバイスを標的としており、これを受けてMikroTik、CERT Polska、ラトビアのCERT.LVは緊急のパッチ適用を呼びかけています。
MikroTikは9月3日にセキュリティアップデートをリリースし、修正済みのRouterOSビルドが対応するアップデートチャネルから入手可能であることを確認しました。同社によれば、大半のデフォルト設定では即座に危険が及ぶわけではないとしていますが、それでもすべての管理者に対し、脆弱性のあるデバイスを遅滞なく更新するよう強く求めています。
影響を受けるコンポーネントには、RouterOSのSSHサーバーおよびクライント、帯域幅テストサービス、X.509証明書処理、そしてWebFigウェブ管理インターフェースが含まれます。
研究者らは6件のRouterOS脆弱性を確認しており、そのうち2件は攻撃者が連鎖的に悪用することで、認証なしにデバイス全体へのアクセスを取得できる重大なSSH関連の欠陥です。
1つ目の問題であるCVE-2026-67276は、CVSSスコア9.2を記録しており、SSH認証バイパスの脆弱性に起因します。RouterOSは認証時にRSA公開鍵の内容を完全には比較していないと報告されています。
有効なユーザー名と、そのアカウントのSSH鍵に関連付けられた公開モジュラス(法)を知っている攻撃者は、検証を通過する別の鍵を生成できます。これにより攻撃者は正当な秘密鍵を持たずにログインでき、標的ユーザーに割り当てられた権限をそのまま引き継ぐことが可能になります。
2つ目の重大な脆弱性であるCVE-2026-86060もCVSSスコア9.2を記録しています。これは、禁止された文字で始まる特別に作成されたSSHユーザー名をRouterOSが処理する際の問題に関わるものです。この不適切なユーザー名処理を悪用すると、攻撃者はセッション権限を操作し、管理者レベルのアクセスを取得できる可能性があります。
CERT.LVの報告によれば、ラトビア国内で公開状態にあるRouterOSデバイスを標的とする活動が増加しています。実際に確認された事案では、攻撃者がこれら2つのSSH関連の欠陥を組み合わせて悪用し、脆弱なルーターの制御権を奪取していました。
3つ目の問題であるCVE-2026-67277はCVSSスコア8.8で、RouterOSの帯域幅テストサービスに影響します。この脆弱性により、認証されていない接続が本来は認証成功後にのみ到達できるはずの状態へ移行してしまう可能性があります。
この問題は、初期化されていないパケットバッファデータの露出やサイズ検証時の整数アンダーフローに関わる別の欠陥と組み合わさることで、カーネルメモリを露出させたり、ルーターを再起動させるリモートからのサービス拒否(DoS)状態を引き起こす恐れがあります。
これらの欠陥は単独では管理者権限の奪取に直結しない可能性がありますが、未パッチのシステムが抱えるリスクを大幅に拡大させるものです。
MikroTikはRouterOSバージョン7.25beta3、7.24.2、7.23.4、6.49.21で修正を提供しました。更新済みのデバイスは、起動時に既知の侵害指標(IoC)がないか自動的に設定内容を検査します。
パッチ適用済みのデバイスでは、不審な設定変更が検出された場合に「Flagged(要注意)」ステータスが割り当てられることがあります。RouterOSは検出した悪意のある設定項目を無効化し、重大イベントとしてログに記録するとともに、警告状態を有効化します。
しかし、MikroTikおよびCERT.LVは、フラグが立っていないデバイスであっても、必ずしも「クリーンである」と断定できるわけではないと注意を呼びかけています。
既知の侵害指標には、ログメッセージlogin failure for user -2 from via sshやuser added by ssh:-2@のほか、高い権限を持つopsという名前のアカウントの存在が含まれます。
CERT Polskaは、opsアカウントを利用した悪用行為をIPアドレス82.192.72.4と関連付けており、別のIPアドレス103.102.31.18についても、この攻撃チェーンを試みる動きが確認されています。
管理者は直ちにRouterOSにパッチを適用し、影響を受けるシステムについて、不正なユーザー、スクリプト、スケジュールタスク、プロキシ、トンネル、その他予期しない設定変更がないか確認する必要があります。デバイスの状態は/system/device-mode/printで確認できます。
直ちにパッチを適用できない組織は、SSH、WWW/WWW-SSL、帯域幅テストサービスへのアクセスを信頼できる管理用ネットワークのみに制限すべきです。
侵害の疑いがある場合、管理者はルーターを隔離し、ログと設定情報の証拠を保全した上でSupout.rif診断ファイルを作成し、デバイスを工場出荷時の状態にリセットして、既知の安全な設定から再構築する必要があります。
すべてのパスワード、SSH鍵、シークレット情報はローテーションを行い、侵害の可能性があるデバイス全体のバックアップは復元しないでください。
セキュリティチームに、不審な活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/hackers-actively-exploit-mikrotik-routeros-mikrotrick-flaws/
