米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、MikroTik RouterOSの2件の脆弱性を既知の悪用脆弱性(KEV)カタログに追加し、これらの脆弱性が実際に悪用されていると警告しました。
Cybersecuritythreat intelligence
CISAは9月10日、CVE-2026-67277とCVE-2026-86060をKEVカタログに掲載し、影響を受ける組織にはベンダー推奨の緩和策を9月13日までに実施するよう求めています。
MikroTik RouterOSの脆弱性
CVE-2026-67277は、MikroTik RouterOSの帯域幅テストサービス(btest)における認証欠落の脆弱性です。CWE-306に分類されるこの問題は、攻撃者がカーネルメモリを漏洩させたり、サービス拒否(DoS)状態を引き起こしたりする可能性があります。
カーネルメモリの露出は特に深刻な問題です。漏洩したデータには機密情報が含まれる可能性があり、攻撃者が後続の攻撃段階でセキュリティ対策を回避する助けとなり得ます。
2つ目の脆弱性であるCVE-2026-86060は、コマンド内の引数区切り文字の不適切な処理に起因するもので、CWE-88として追跡されています。KEVの記載によると、攻撃者は信頼されたRouterOSのポリシーマスクを操作し、権限昇格を可能にする恐れがあります。
ネットワークルーターで昇格した権限を取得した攻撃者は、ルーティングルールを変更したり、持続的なアクセスを確立したり、通信を傍受したり、さらなる内部攻撃の踏み台としてそのデバイスを利用したりする可能性があります。
CISAはCVE-2026-86060について、拘束力のある運用指令(Binding Operational Directive)26-04に基づくフォレンジック調査(トリアージ)が必要と指定しており、影響を受ける組織は緩和策の適用に加えて侵害の兆候の調査を行うべきであることを示しています。
CISAの掲載情報にはいずれの脆弱性についてもランサムウェアへの言及はありませんが、両方とも現在、実際に悪用されている脆弱性として分類されており、迅速な評価と修正対応が不可欠です。
米連邦政府の民間機関(Federal Civilian Executive Branch)はKEVの修正期限を遵守する義務があります。それと同時に、CISAはMikroTik RouterOSデバイスを運用するすべての組織に対し、これらの脆弱性への対応を優先するよう強く求めています。
管理者は、インターネットに公開されているRouterOSシステムを特定し、修正済みリリースや緩和策についてベンダーのアドバイザリを確認し、管理機能とbtestサービスへのアクセスを制限し、デバイスのログや設定変更に不正アクティビティの兆候がないか確認する必要があります。
わずか3日間という短い修正期限は、脆弱なRouterOS環境が即時の運用リスクをもたらすというCISAの評価を強く示しています。有効な緩和策を実施できない組織は、安全な設定または更新済みソフトウェアバージョンが利用可能になるまで、影響を受けるデバイスを外部への露出から取り除くことを検討すべきです。
SOCを常に最新の状態に保ち、出現から24時間以内にアクティブなマルウェア&フィッシングに対応しましょう。 早期検知でインシデントを防ぐANY.RUNを試す。
翻訳元: https://gbhackers.com/cisa-adds-exploited-mikrotik-routeros-flaws/
