SSHがインターネットに公開されたMikroTikデバイスに対し、攻撃者がRouterOSの脆弱性チェーンを悪用してデバイスを乗っ取っていることが、CERT Polskaの調査で判明しました。
ポーランドの国家CSIRTチームであるCERT Polskaは、RouterOSに6件の脆弱性を発見し、MikroTikと協調して開示を行いました。この6件のうち2件を組み合わせることで、SSHがインターネットからアクセス可能な状態であれば、攻撃者は認証なしでデバイスを完全に制御できてしまいます。同チームはこの攻撃チェーンを「MikroTrick」と名付けました。
「ここ数日、インターネットからアクセス可能なRouterOSデバイスに対する攻撃を観測しています。攻撃者がこの脆弱性の組み合わせを悪用し、公開ネットワークからSSHサービスにアクセス可能なデバイスを完全に制御していることを確認しました」とCERT Polskaのチームは記しています。
「公開されたパッチが観測された攻撃を防ぐことも確認済みです。直ちにアップデートを適用することを推奨します」とも付け加えています。
これらの脆弱性は、同チームがOpenAIのGovernment and Trust Agency Collaborationプログラムを通じて利用しているGPT-5.5-cyberおよびGPT-5.6-solモデルを用いて発見されました。
「2026年9月5日の24時間スキャン期間中、SSHがアクセス可能な状態のMikroTikデバイスが少なくとも122,500台確認されました（脆弱性チェックは未実施）」と、Shadowserver FoundationがMastodonに投稿しています。
侵害の痕跡
脆弱性の一つであるCVE-2026-67276（CVSSスコア9.2）は、SSH認証を回避できる不具合です。RouterOSがユーザーのRSA鍵全体ではなく公開モジュラスのみを比較していたことが原因で、あるユーザー名とそのモジュラスさえ把握していれば、攻撃者は秘密鍵を持たずとも別の鍵を作成してログインし、そのアカウントの権限を取得できてしまいます。
CVE-2026-86060（こちらもCVSSスコア9.2）は、許可されていない文字で始まるSSHユーザー名の処理方法に起因する権限昇格の不具合です。攻撃者が特定のユーザー名を作成することで、管理者権限を持つ完全なセッションが返される仕組みになっていました。
3つ目の脆弱性であるCVE-2026-67277（CVSSスコア8.8）は、帯域幅テストサービスに存在します。本来はログイン済みユーザー専用であるはずの状態に、未認証の接続が到達できてしまう不具合です。この脆弱性は、未初期化のパケットバッファデータの漏えいやサイズ検証における整数アンダーフローと組み合わさることで、カーネルメモリの露出やデバイスのクラッシュ・再起動を引き起こす可能性があります。
このほか、深刻度が低い3件の脆弱性がSSHクライアント、X.509証明書処理、WebFigインターフェースに影響を与えます。
研究者らは、観測された攻撃の痕跡として以下のログエントリを挙げています。
- login failure for user -2 from via ssh
- user added by ssh:-2@
身に覚えのない「ops」という高権限ユーザーが出現することも、侵害の兆候の一つです。同チームは、この「ops」アカウントの作成を含む確認済みの攻撃成功事例を、少なくとも2026年9月2日から活動しているIPアドレス82.192.72.4にまでたどり着きました。また、同じ攻撃チェーンの悪用を試みたもう一つのIPアドレス103.102.31.18についても注意を促しています。
パッチと検知
MikroTikはRouterOSバージョン7.25beta3、7.24.2、7.23.4、6.49.21で修正を公開しており、詳細はセキュリティ情報一覧に記載されています。
「これは重要なセキュリティアップデートです。ほとんどの構成はリスクにさらされていませんが、アップグレードを強く推奨します。システムを更新する時間を確保するため、現時点では詳細な情報は公開していません」とMikroTikは述べています。
「一般的な家庭用デバイスのユーザーにとって、この問題が直ちにリスクとなることはありませんが、それでも全てのユーザーにアップグレードを推奨します」
パッチ適用済みバージョンには、起動時に設定を走査して不正な変更の既知の兆候を検出する仕組みが備わっており、検出された不審な項目を無効化し、ログにメッセージを記録した上で「Flagged」マーカーを設定します。
「デバイスがFlagged状態でなかった場合でも、RouterOSをアップグレードした後は、心当たりのないスクリプトやユーザー、その他の設定がないか、デバイスの構成を確認してください」とMikroTikは付け加えています。
推奨事項
CERT Polskaは、RouterOSを直ちに7.25beta3、7.24.2、7.23.4、または6.49.21にアップデートした上で、侵害を示すメッセージがログに記録されていないか、また/system/device-mode/printコマンドの出力にあるflaggedマーカーの値を確認し、さらに心当たりのないユーザーやスクリプト、その他の見覚えのない変更がないか構成を見直すことを推奨しています。
パッチを直ちに適用できない場合は、SSH、WWW/WWW-SSL、帯域幅テストサーバーなど、公開されているサービスを無効化するか、信頼できる管理ネットワークに限定するよう推奨しています。また、未パッチのデバイスから信頼できないネットワークを経由してTLS接続や内蔵SSHクライアントを使用しないことも推奨しています。
「これらはあくまで攻撃対象領域を縮小するための一時的な対策に過ぎません。パッチ適用済みのRouterOSバージョンをインストールすることの代替にはなりません」
研究者らがこの情報を前倒しのスケジュールで公開したのは、パッチ適用済みのパッケージが既に公開されており、それらを比較分析することで、コミュニティが修正されたバグの一部を再現できる状態にあるためです。
「私たちは、管理者に必要な情報のみに説明を限定し、攻撃の自動化を容易にするようなエクスプロイトコードや詳細は公開しません」と研究者らは結んでいます。
翻訳元: https://www.helpnetsecurity.com/2026/09/07/mikrotik-routeros-ssh-vulnerabilities-exploited/
