Hackers exploit new MikroTik RouterOS flaws to hijack routers

ハッカーたちは、MikroTikルーターで最近公表された2つの脆弱性を連鎖的に悪用し、インターネットにSSHサービスが公開されているデバイスを乗っ取っています。

これらのセキュリティ問題のうち、CVE-2026-67276として追跡されているものは、RSA公開鍵の検証が不完全であることに起因する、MikroTik RouterOSのSSH認証バイパス脆弱性です。

ユーザー名とそのユーザーの鍵の公開モジュラスを把握している攻撃者は、別の鍵を作成し、正当な秘密鍵を持たずにログインすることで、この脆弱性を悪用することができます。

2つ目のセキュリティ問題はCVE-2026-86060として特定されています。これは、特別に細工されたユーザー名の不適切な処理に起因する、MikroTik RouterOSのSSH権限昇格の脆弱性です。

ハッカーは、特別に細工されたユーザー名を利用して SSH セッションを操作し、完全な管理者権限を取得することができます。

これらの脆弱性は両方とも、ポーランドのCERT機関がGPT-5.5-cyberおよびGPT-5.6-solの支援を受けて発見したもので、深刻度は「重大」と評価されています。

同機関はこのエクスプロイトチェーンを「MikroTrick」と名付け、現在、実環境で積極的に悪用されていると警告しています。

「ここ数日、インターネットからアクセス可能なRouterOSデバイスに対する攻撃が確認されています」と、ポーランドの CERTは警告しています。

「攻撃者がこの脆弱性の組み合わせを悪用し、パブリックネットワークからSSHサービスにアクセス可能なデバイスを完全に制御していることが確認されました」

また、ポーランドのCERTは、RouterOSの帯域幅テストサービスに影響を及ぼし、認証されていない攻撃者がカーネルメモリを漏洩させたり、ルーターを遠隔でクラッシュさせたり再起動させたりすることを可能にする3つ目の脆弱性（CVE-2026-67277）についても指摘しました。

MikroTikは、9月3日にリリースされたRouterOS 7.25beta3、7.24.2、7.23.4、および6.49.21においてこれらの脆弱性を修正し、ポーランドのCERTは修正の有効性を確認した。

ベンダーはアドバイザリの中で、すべての構成が影響を受けるわけではないと指摘していますが、ユーザーがセキュリティ更新プログラムを適用する時間を確保できるよう、詳細は明らかにしていません。

この更新により、ルーターに侵害検知メカニズムが追加され、起動時に既知の不正な設定変更の兆候を検出し、悪意のある設定を無効化し、重大な警告をログに記録するようになっています。

ただし、CERTは、侵害を示すマーカーが存在しないからといって、ルーターが侵害されていないという保証とはみなすべきではないと指摘している。

CERTは、以下の侵害の兆候（IoC）を公開しました：

  • ログエントリ：「<ip> からのユーザー -2 による SSH ログイン失敗」および「ssh:-2@<ip> によってユーザー <name> が追加されました」
  • 高度な権限を持つopsアカウントの存在
  • 82.192.72.4 — 攻撃の成功が確認されたIPアドレス
  • 103.102.31.18 — MikroTrickの脆弱性を悪用しようとする試みが確認された

侵害が疑われる場合、ポーランドの機関は、ルーターを隔離し、ログと設定を保存した上で、デバイスを工場出荷時設定にリセットし、信頼できる設定から再構築するとともに、パスワード、鍵、その他の機密情報を更新することを推奨しています。

すぐに更新を適用できない場合、外部からアクセス可能なSSH、WWW/WWW-SSL、および帯域幅テストサービスを制限または無効にし、組み込みのSSHクライアントの使用や、信頼できないネットワーク経由でのアウトバウンドTLS接続を避けることが推奨されます。

The ShadowServer Foundationが提供したデータによると、9月5日時点で、SSHインターフェースが公開されているMikroTikデバイスは122,500台ありました。ただし、MikroTikの脆弱性を悪用される恐れのあるデバイスの正確な数は特定されていません。