ハッカーらは、MikroTikルーターに最近公表された2件の脆弱性を連鎖させて悪用し、インターネットにSSHサービスを公開しているデバイスを乗っ取っています。
セキュリティ問題の1つはCVE-2026-67276として追跡されており、RSA公開鍵の検証が不完全であることに起因するMikroTik RouterOSのSSH認証バイパスの脆弱性です。
あるユーザー名とその鍵の公開係数（modulus）を知っている攻撃者は、正規の秘密鍵を使わずに別の鍵を作成し、ログインすることでこの脆弱性を悪用できます。
Visit Advertiser websiteGO TO PAGE
2つ目のセキュリティ問題はCVE-2026-86060として特定されています。これは、特別に細工されたユーザー名の処理が不適切であることに起因するMikroTik RouterOSのSSH権限昇格の脆弱性です。
ハッカーは特別に細工したユーザー名を利用してSSHセッションを操作し、攻撃者が完全な管理者権限を取得できるようにします。
両方の脆弱性はポーランドのCERT機関がGPT-5.5-cyberおよびGPT-5.6-solの支援を受けて発見したもので、深刻度は「クリティカル」と評価されています。
ポーランドの同機関はこの攻撃連鎖を「MikroTrick」と名付け、現在実際に悪用が確認されていると警告しています。
「ここ数日、インターネットからアクセス可能なRouterOSデバイスに対する攻撃を観測しています」と、ポーランドのCERTは警告しています。
「攻撃者がこの脆弱性の組み合わせを悪用し、SSHサービスが公開ネットワークからアクセス可能なデバイスを完全に制御下に置いていることを確認しました」としています。
ポーランドのCERTはさらに、RouterOSの帯域幅テスト機能に影響する3つ目の脆弱性CVE-2026-67277についても指摘しており、これにより認証されていない攻撃者がカーネルメモリを漏洩させたり、ルーターをリモートでクラッシュ・再起動させたりできるとしています。
MikroTikは9月3日にリリースしたRouterOS 7.25beta3、7.24.2、7.23.4、6.49.21でこれらの脆弱性を修正しており、ポーランドのCERTも修正内容の有効性を検証済みです。
同社はアドバイザリの中で、すべての構成が影響を受けるわけではないとしつつも、ユーザーがセキュリティ更新を適用する時間を確保するため、詳細は明らかにしていません。
今回の更新には、起動時に不正な設定変更の既知の兆候を検出し、悪意のある項目を無効化した上で重大な警告をログに記録する侵害検知機能もルーターに追加されています。
ただしCERTは、この兆候が見つからないからといって、ルーターが侵害されていないことの保証にはならないと注意を促しています。
CERTは以下の侵害の痕跡（IoC）を共有しています。
- ログエントリ：「login failure for user -2 from <ip> via ssh」および「user <name> added by ssh:-2@<ip>」
- 高い権限を持つopsアカウントの存在
- 82.192.72.4 — 攻撃成功が確認された事例と関連
- 103.102.31.18 — MikroTrickの悪用を試みる動きが観測された
侵害が疑われる場合、ポーランドの同機関はルーターを隔離し、ログと設定を保全した上で、デバイスを工場出荷時状態にリセットし、信頼できる設定から再構築するとともに、パスワードや鍵などの機密情報をすべてローテーションするよう推奨しています。
すぐに更新を適用できない場合の対策としては、外部からアクセス可能なSSH、WWW/WWW-SSL、帯域幅テストの各サービスを制限または無効化し、信頼できないネットワーク上では内蔵SSHクライアントや外向きのTLS接続の使用を避けることが挙げられています。
The ShadowServer Foundationが提供したデータによると、9月5日時点でSSHインターフェースが外部に公開されているMikroTikデバイスは122,500台存在していました。ただし、このMikroTikの脆弱性を悪用可能なデバイスの正確な台数は判明していません。
