米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)は、MikroTik RouterOSに存在する深刻な権限昇格の脆弱性を既知の悪用脆弱性(KEV)カタログに追加し、この脆弱性が実際の攻撃で積極的に悪用されていると警告しました。
CVE-2026-86060として追跡されているこの問題は、MikroTik RouterOSに影響を及ぼすもので、コマンド内の引数区切り文字の不適切な無効化に起因しています。これはCWE-88に分類される脆弱性です。
この脆弱性の悪用に成功すると、攻撃者は信頼済みのRouterOSポリシーマスクを改ざんできるようになり、本来許可されている権限レベルを超えて権限を昇格させる可能性があります。
RouterOSのポリシーマスクは、アクセス制御を定義し、MikroTikデバイス上でユーザーやプロセスが実行できる管理機能を決定するために使用されています。
脆弱なコマンド処理の仕組みを通じて信頼済みのポリシーマスクを操作することで、脅威アクターはより広範な権限を取得し、本来は制限されているはずの機能にアクセスできるようになる可能性があります。
権限昇格の脆弱性は、ネットワークインフラにおいて特に危険です。侵害されたルーターは、企業やサービスプロバイダーの環境内で重要な位置を占めていることが多いためです。
RouterOSの権限を昇格させた攻撃者は、ファイアウォールルールの改変、ネットワークトラフィックのリダイレクト、不正なアカウントの作成、VPN設定の変更、永続的な侵入経路の確立、セキュリティ制御の無効化などを行える可能性があります。
CISAは2026年9月10日、CVE-2026-86060をKEVカタログに追加し、対応期限を2026年9月13日に設定しました。
同庁はこの脆弱性について、拘束的運用指令(BOD)26-04に基づくフォレンジック・トリアージが必要であると位置づけており、組織はこの問題を通常のパッチ適用作業として扱うべきではないことを示唆しています。
現時点でKEVリストには、この脆弱性に関連したランサムウェア利用が確認されているとの記載はありません。しかし、実際の悪用が確認されていることと、攻撃者がエッジネットワーク機器に対する特権的な制御を奪取できる可能性があることから、防御側にとって優先度の高い懸念事項となっています。
CISAは同日、別のMikroTik RouterOSの脆弱性であるCVE-2026-67277もKEVカタログに追加しました。この脆弱性は、RouterOSのbtestサービスにおける認証欠如の問題として説明されています。
CWE-306に分類されるCVE-2026-67277は、カーネルメモリの情報漏洩やサービス拒否(DoS)状態を引き起こす可能性があります。CVE-2026-86060とは異なり、CISAはこの脆弱性についてはフォレンジック・トリアージが必要とは位置づけていません。
とはいえ、実際に悪用されている権限昇格の問題と、別途のメモリ情報漏洩・DoSの脆弱性が組み合わさっていることで、MikroTik製デバイスを運用する組織にとっての緊急性は高まっています。
CISAは、影響を受ける組織に対し、リスクに基づいて対応の優先順位を定めるBOD 26-04のガイダンスに沿って、ベンダー提供の緩和策を適用するよう指示しています。
管理者は直ちに、インターネットに公開されているMikroTik RouterOSデバイスを特定し、露出している管理インターフェースやサービスインターフェースを確認した上で、利用可能なセキュリティ更新や緩和策を適用する必要があります。
セキュリティチームはまた、RouterOSのログを確認し、想定外の設定変更、新規の特権アカウント、ポリシーの変更、不審なコマンド実行、管理サービスに関わる異常なトラフィックがないか点検する必要があります。
CVE-2026-86060はフォレンジック・トリアージの対象に指定されていることから、組織は対応策の適用前後を問わず、影響を受けた可能性のあるデバイスに侵害の痕跡がないか調査すべきです。
16,000以上の組織から得られる最新のインテリジェンスで、脅威検出率を58%向上。TIフィードを統合することで、貴社のSOCを強化しましょう
翻訳元: https://cyberpress.org/cisa-warns-mikrotik-routeros-flaw/
