攻撃者は2つのMikroTik RouterOSの脆弱性を組み合わせることで、パスワードなしで公開ルーターへの管理者レベルのアクセスを取得できます。
Bishop Foxのセキュリティ研究者らはこの攻撃チェーンを再現し、実際のデバイス上に、攻撃者が公式修正が公開される前にこの脆弱性を悪用していたことを示す痕跡を発見しました。
この問題は、ルーターが内部ネットワークとインターネットの間のトラフィックを処理するという性質上、特に深刻です。
侵害されたMikroTikデバイスは、攻撃者にトラフィックの監視、認証情報の窃取、アクセスの維持、あるいは接続先ネットワークへのさらなる侵入を許してしまう可能性があります。
CERT Polskaは2026年9月5日、積極的に悪用されている6件のRouterOSの脆弱性を公表しました。このうちCVE-2026-67279とCVE-2026-86060として追跡されている2件は、「MikroTrick」と呼ばれる攻撃で連鎖させることが可能です。MikroTikはこの6件すべてに対して修正版をリリースしました。
1つ目の脆弱性であるCVE-2026-67279は、RouterOSがSSHの再キー化を処理する方法に関わるものです。再キー化とは、接続中に暗号鍵を入れ替える通常のSSH操作です。
通常の条件下では、SSHは3つの手順を踏みます。まず暗号化を確立し、次にユーザーを認証し、その後で端末アクセスやコマンド実行といったセッション操作を許可します。
脆弱なRouterOSのバージョンでは、未認証のクライアントが再キー化を要求することで、ユーザー認証を完了させずにデバイスを後続の接続状態へ移行させることができました。
これによって直ちに管理者セッションが作成されるわけではありません。しかし、この手法によってリモート接続がログイン後にのみ利用できるはずの機能にアクセスできてしまいます。
Bishop Foxは、影響を受けるRouterOS 6.xおよび7.xのバージョンが、この不正な認証状態に押し込まれる可能性があることを確認しました。
CERT Polskaはさらに、この未認証の経路がRouterOSが管理するファイル領域内のファイルを操作するために利用できると報告しています。こうしたファイルには設定情報や診断情報が含まれている場合があります。
この問題は、RouterOSが接続層のリクエストを処理する前に、セッションに割り当てられたポリシーが存在するかを検証するチェックを追加することで修正されました。認証が完了していないセッションにはこのポリシーが存在しないため、デバイスは現在そのリクエストを拒否するようになっています。
2つ目の脆弱性であるCVE-2026-86060は、RouterOSのSSHログイン処理に存在します。RouterOSは、SSHクライアントから提供されたユーザー名を、ユーザーの識別とアクセス権限の確立を担うヘルパープログラムに送信します。
このヘルパープログラムには、信頼済みのローカルプログラム向けのレガシー機能が含まれています。ダッシュ記号から始まる特別な形式の引数を渡すことで、その値を通常のユーザー名として扱う代わりに、すでに開かれているファイルディスクリプタから識別データを読み込むよう、ヘルパーに指示することができます。
SSHサービスは、リモートユーザーからのこの特殊な構文をブロックできていませんでした。脆弱なRouterOS 7.xのデバイスでは、攻撃者は巧妙に作り込んだユーザー名を渡すことで、アクティブな端末接続を通じて信頼済みに見える識別レコードを送信できました。
その結果、ヘルパープログラムがこのデータをフル権限を持つ管理者の識別情報として解釈してしまい、通常の認証を回避できてしまう可能性がありました。
MikroTikは、ログインヘルパーが呼び出される前にユーザー名を検証することでこの問題を修正しました。Bishop Foxによると、修正版では空のユーザー名、先頭のダッシュ記号、制限された位置にあるスペース、制御文字を拒否するようになっています。
Bishop Foxはまた、インターネットに公開されているルーター上に、予期しない特権アカウント、スクリプト、スケジュールタスクといった永続化の痕跡を発見しました。
ANY.RUNを利用して脅威調査を効率化し、手作業の負担を軽減している16,000以上のSOCチームに加わりましょう。詳細はこちらから、チーム向けにご覧ください
翻訳元: https://cyberpress.org/mikrotik-flaws-enable-admin-access/
