攻撃者らが「MikroTrick」と名付けられた重大な脆弱性チェーンを悪用し、インターネットに公開されたMikroTik RouterOSデバイスの管理者権限を、正規の認証情報なしに完全に掌握する攻撃を実行していることが明らかになりました。
CERT Polskaは2026年9月5日、6件のRouterOS脆弱性を公表し、そのうち2件の重大な脆弱性を組み合わせることで、インターネットから到達可能なルーターを乗っ取れると警告しました。
ポーランドの国家CSIRTによると、SSHがインターネットからアクセス可能な状態にあるデバイスに対して実際に悪用が行われていることを確認済みで、報告によれば少なくとも9月2日から攻撃が観測されていたということです。
この脆弱性チェーンの影響を受けるデバイスは、多くの組織においてインターネットとの境界を担う機器として使われています。
攻撃者はいったんルーターを掌握すると、通信の流れを改変したり、不正な管理者アカウントを作成したり、トラフィックを監視・リダイレクトしたり、永続的な足場を構築したり、さらにはネットワーク境界の内側にあるシステムへ侵入を広げたりすることが可能になります。
MikroTrickは、RouterOSのSSH認証処理とセッション処理の経路に存在する2つの欠陥を組み合わせたものです。
公開されている報告によれば、実際に悪用されているチェーンはSSH認証バイパスの脆弱性であるCVE-2026-67276と、細工されたユーザー名の不適切な処理に起因するセッション権限操作の脆弱性であるCVE-2026-86060で構成されているとのことです。
Vulnerabilitydiscovery service
いずれの脆弱性もCVSS深刻度スコアは9.2です。
第一段階では、攻撃者は通常のSSH信頼確認を回避し、標的ユーザーの秘密鍵を持たない状態でSSHコマンドチャネルを開くことが可能になります。
第二段階では、RouterOSのログイン処理を悪用してセッションに割り当てられるポリシーを操作し、未認証あるいは不適切に認証されたSSH接続を、事実上フル権限の管理者セッションへと変換してしまいます。
Bishop Foxは、脆弱性を持つRouterOS 7.xバージョンにおいて、CVE-2026-67279とCVE-2026-86060に関連するチェーンを独自に再現することに成功しました。
同社の分析によると、SSHの鍵再交換(rekeying)を利用することで、未認証の接続を本来想定されている認可の境界を超えて進行させることが可能になり、その後「-2」のような細工されたユーザー名が、通常のユーザー識別子としてではなく、レガシーなログインヘルパーによる命令として解釈されてしまうということです。
この脆弱な処理フローでは、ヘルパーが攻撃者の端末セッションに接続された開いたファイルディスクリプタから、本来信頼されているはずのID情報を読み取ってしまう可能性があります。
Bishop Foxの研究者らによると、この攻撃は公表前、かつ修正版のリリース前から始まっており、公開されたSSHサービスがネットワーク侵害の優先度の高い侵入口と化していたとのことです。
これにより、攻撃者は管理者IDとポリシーマスクを提示するだけで、通常の認証プロセスを完了することなく、権限のあるRouterOSセッションを得ることができたのです。
悪用されたMikroTikの脆弱性
この運用上のリスクは、RouterOSを更新した後も終わりません。Bishop Foxは、インターネットに公開されたデバイス上で、侵害後の永続化と一致する痕跡を報告しています。これには、権限のない不正なフル権限アカウント、スクリプト、スケジュールタスクなどが含まれます。
観測されたある手法では、防御側が定期的に権限のあるアカウントを削除しても、スケジューラのエントリを使ってそのアカウントを再作成するというものでした。
不審なRouterOSのスクリプトやスケジューラには、「owner=”0″」という通常とは異なる所有者値が見られました。
ラボでのテストでは、検証対象の攻撃経路を通じて作成されたオブジェクトにはこの数値の所有者値が付与される一方、通常の管理者ログインを通じて作成されたオブジェクトには「owner=”admin”」と表示されることが確認されました。
ただし、正規のサービスによって作成されたオブジェクトやインポートされたオブジェクト、あるいは過去の古いオブジェクトも非標準の所有者情報を持つ場合があるため、これは侵害の確証ではなく、あくまで調査の手がかりとして扱うべきものです。
RouterOSのログ機能も、インシデント対応をさらに難しくする要因となります。ログイン履歴はデフォルトでメモリ上にのみ保持されるため、再起動すると消えてしまいます。
一方で、攻撃者が追加したアカウント、スクリプト、スケジューラ、プロキシ、トンネル、設定変更などは、そのまま残り続ける可能性があります。
MikroTikは9月に判明した一連の脆弱性に対する修正版をリリース済みで、管理者に対して同社のセキュリティ通知を確認するよう呼びかけています。
Vulnerabilitydiscovery service
CERT Polskaも、一般公開されているRouterOSのSSHサービスを標的とした積極的な悪用が行われていることから、直ちにアップデートと設定の見直しを行うよう推奨しています。
組織は影響を受けるシステムをRouterOS 6.49.21、7.23.4、7.24.2、またはそれ以降の該当バージョンへアップデートする必要があります。
これらのアップデートは新たな悪用を防ぐものではありますが、攻撃者がすでに構築した永続化の仕組みを取り除いたり、侵入者が既に得たアクセス権を無効化したりすることはできません。
セキュリティチームは、インターネットに公開され未修正のままのMikroTikデバイスは侵害されている可能性があるものとして扱うべきです。
侵害が疑われるルーターをリセットする前に、その設定情報を収集し、利用可能なログをエクスポートし、権限のあるアカウントを調べ、スクリプトやスケジューラを確認し、不審なプロキシやトンネルの有無を特定し、設定変更履歴やリモートロギングの記録を精査してください。
不審な点が見つかったシステムは、検証済みのベースラインから再構築すべきであり、そのルーター上に保存されている、あるいはルーターから閲覧可能なすべてのパスワード、SSH鍵、VPNの秘密情報、APIの認証情報、その他の機密情報についても、すべてローテーション(更新)する必要があります。
あらゆるSOCアラートの調査時間を21分短縮。即座に使えるIOCコンテキストでSOCを強化し、迅速な対応を実現します: TI LookupをSOCに統合する
翻訳元: https://gbhackers.com/mikrotik-vulnerabilities-exploited/
