CISA、SharePointの遠隔コード実行脆弱性とMikroTikを完全掌握する「MikroTrick」脆弱性をKEVカタログに追加

要点

• 米CISAが、Microsoft SharePointおよびMikroTik RouterOSの脆弱性2件を悪用確認済みリスト（KEV）に追加した。

• SharePointの脆弱性「CVE-2026-65660」は、悪用によりネットワーク経由で遠隔からコードを実行される恐れがある。

• MikroTik RouterOSの「CVE-2026-67279」は別脆弱性と組み合わされ、パスワードなしで機器を完全掌握する攻撃「MikroTrick」に悪用されている。

• マイクロソフトはSharePointの脆弱性が実際に悪用された信頼できる証拠を確認したと報告している。

• 米連邦機関に対しては、関連する脆弱性の修正期限が設定されている。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年9月25日、米マイクロソフトの「Microsoft SharePoint」と、ネットワーク機器メーカーMikroTikのOS「RouterOS」に存在するセキュリティ脆弱性2件を「悪用が確認された脆弱性（KEV: Known Exploited Vulnerabilities）」カタログに追加した。いずれの脆弱性も実際の攻撃において悪用が確認されたことを受けた措置だ。

• 今回カタログに登録されたのは、SharePoint環境でリモートコード実行を可能にする脆弱性「CVE-2026-65660」と、MikroTik機器を認証なしで完全に制御できる複合攻撃「MikroTrick」に用いられる脆弱性「CVE-2026-67279」の2件である。

SharePointの脆弱性「CVE-2026-65660」：なりすましから遠隔コード実行へ深刻度を更新

Microsoft Office SharePointに存在する「CVE-2026-65660」は、脆弱性の深刻度を示すCVSS（Common Vulnerability Scoring System）スコアで「8.8」と評価されているコードインジェクション（不正なプログラムコードの挿入）の脆弱性だ。この欠陥が悪用された場合、認証を持つ攻撃者がネットワーク経由で任意のコードを実行できるようになる。

マイクロソフトは当初、本件をSharePoint Serverにおけるスプーフィング（なりすまし）の脆弱性として公表していた。しかしその後、同社はセキュリティアドバイザリ（セキュリティ情報の告知）を更新し、リモートコード実行（RCE: 遠隔から不正なプログラムを実行する攻撃手法）に悪用される可能性がある旨へと評価を改めた。

マイクロソフトのセキュリティレスポンスセンター（MSRC）は、2026年9月25日の時点でこの脆弱性の悪用を試みる実際の攻撃について信頼できる証拠を確認したと発表している。ただし、攻撃を実行した主体の身元、攻撃が開始された時期、標的となった組織の規模や数、侵入が成功した事例の件数、さらにはシステム内部へ侵入した攻撃者がどのような行動をとったかといった具体的な詳細については公表していない。

MikroTik RouterOSの脆弱性と複合エクスプロイト「MikroTrick」

KEVカタログに追加されたもう1つの脆弱性「CVE-2026-67279」（CVSSスコア: 6.9）は、MikroTikのネットワークOSであるRouterOSにおける、動作ワークフローの適用不備に関する欠陥だ。認証されていないクライアントであっても、セッションチャネルを開いて実行（exec）リクエストを送信できる状態になっていたという。

この脆弱性は単体での悪用にとどまらず、RouterOSのログイン処理に存在する引数インジェクションの脆弱性「CVE-2026-86060」と組み合わされ、「MikroTrick」というコードネームのエクスプロイト（脆弱性を悪用する攻撃手法やコード）として利用されている。

ポーランドのサイバーセキュリティ機関であるCERT Polskaによると、攻撃者はこの2つの脆弱性を連鎖（チェーン）させることで、インターネット上に露出している対象ルーターの完全な管理者権限をパスワードなしで掌握することが可能だという。CERT Polskaは技術分析の中で「2つの脆弱性を組み合わせることにより、未認証の状態で管理コンソールへの完全なアクセスが可能になった。CVE-2026-67279によって未認証クライアントがセッションチャネルを作成し、CVE-2026-86060によって攻撃者が制御するポリシーマスクを伴うログインを渡すことができた」と説明している。

また、米セキュリティ企業Bishop Foxも独自に検証を行い、影響を受けるRouterOS 7.xビルドにおいて完全な管理者権限の乗っ取りを再現できたと報告した。同社のセキュリティ研究者であるEmilio Gallegos氏は、「MikroTrickは異なる信頼境界に存在する2つの不具合を組み合わせたものだ。第1の不具合により、本来ログイン後にのみ利用できるべきRouterOSの機能へ未認証の接続が到達可能となり、第2の不具合によって、ログイン処理がその接続からのデータを信頼された管理者IDとして扱ってしまう」と分析している。さらに同氏は、特権ソフトウェアにおける設計上のリスクとして、本来は信頼できるローカル呼び出し元専用に意図された機能であっても、上流コンポーネントが認証状態を見失うことでリモートからの攻撃対象領域（アタックサーフェス）に変化してしまう危険性を指摘している。

連邦機関への修正指示とタイムライン

なお、MikroTrickを構成するもう一方の脆弱性「CVE-2026-86060」については、CISAが2026年9月11日の時点で既にKEVカタログへ追加していた。

CISAの定めた方針に基づき、米国の連邦文民行政府（FCEB: 連邦政府の民間機関）は、2026年9月28日までに必要な修正パッチの適用などの対策を完了することが義務付けられている。