MikroTik製ルーターに認証回避の深刻な脆弱性、遠隔から管理者権限を奪取される攻撃が報告される
要点
-
インターネット上に公開されたSSHサービスを悪用し、認証なしでルーターの完全な管理者権限を奪う攻撃が確認された。
-
ポーランドのセキュリティ機関CERT Polskaが注意喚起を発表し、関連する2つの脆弱性の組み合わせを「MikroTrick」と命名した。
-
開発元のMikroTikは複数のリリースチャネル向けに修正版RouterOSを提供し、管理者へ速やかなアップデートを呼びかけている。
-
侵入の兆候を検知する設定確認コマンドやログの特定文字列、侵害が疑われる場合の復旧手順も公開された。
-
ネットワーク機器メーカーのMikroTik（マイクロティック）が提供するルーター製品において、外部に公開された管理用サービスを経由して認証なしに完全な管理者権限を奪取される攻撃が発生していることが明らかになった。ポーランドのコンピュータ緊急対応組織であるCERT Polskaが2026年9月5日付で警告を発令した。開発元のMikroTikもすでに修正ファームウェアを公開し、利用者に対して迅速な適用を求めている。
攻撃の手法と「MikroTrick」の概要
CERT Polskaの発表によると、攻撃者はインターネットから到達可能なSSH（Secure Shell：遠隔から機器を安全に操作するための通信規約）サービスを標的とし、認証を経ることなく機器のフルコントロール権限を取得しているという。この手法による攻撃の成功は、少なくとも2026年9月2日時点で確認されている。
CERT Polskaはこの攻撃で悪用された2つの脆弱性の連鎖を「MikroTrick」と呼称している。ただし、具体的にどの2つの脆弱性が組み合わされているのか、またどのような仕組みで管理者権限の奪取に至るのかといった詳細な技術情報は、公開された文書内では明示されていない。
なお、今回の攻撃による被害件数や攻撃者の正体については現時点で判明していない。開発チャネル向けの修正版（バージョン7.25beta3）には9月2日付の変更履歴が記載されており、9月3日に各種修正版のアナウンスが行われた。攻撃が確認されたタイムラインとの前後関係から、攻撃発生前に修正が一般公開されていたかどうかは確定しておらず、いわゆるゼロデイ攻撃（修正プログラムが提供される前に行われる攻撃）に該当するかどうかも未検証の状態となっている。
影響を受けるバージョンと修正版の提供状況
今回の脆弱性は、MikroTikルーターの専用オペレーティングシステムである「RouterOS」の広範なバージョンに影響する。CERT Polskaが報告した影響範囲と、MikroTikが公開した修正バージョンは以下の通りである。
| 影響を受けるバージョン範囲 | 初期修正バージョン | 推奨される更新内容 |
|---|---|---|
| RouterOS 6.0.0 以上 6.49.21 未満 | 6.49.21 | RouterOS 6向けセキュリティリリース |
| RouterOS 7.0.0 以上 7.23.4 未満 | 7.23.4 | Long-termチャネルでは7.23.5の利用を推奨 |
| RouterOS 7.24 以上 7.24.2 未満 | 7.24.2 | Stableチャネル向けセキュリティリリース |
| 開発チャネル（CERTの開示範囲外） | 7.25beta3 | Developmentチャネル向け修正版 |
Long-termチャネル向けに提供されているバージョン7.23.5は、7.23.4で混入したIPv6環境でのDHCP（Dynamic Host Configuration Protocol：端末に通信設定を自動割り当てする仕組み）に関する不具合を解消しつつ、セキュリティ修正を維持したリリースとなっている。
なお、MikroTik側の説明によると、家庭向けに提供されている機器では、初期設定のファイアウォールルールが有効に維持されている限り、インターネット側からの管理ポートへの直接アクセスは標準で遮断される設計になっているという。
一時的な緩和策と制限事項
ファームウェアのアップデートを直ちに実施できない環境に向けて、CERT Polskaは暫定的な回避策を提示している。
インターネットに露出している管理用サービスを無効化するか、アクセス可能な範囲を信頼できる特定の管理用ネットワークのみに制限することが推奨されている。特に対象として挙げられているのは、SSH、Web管理画面（WWW/WWW-SSL）、および帯域テスト機能（bandwidth-test）である。
また、パッチが適用されていない機器からは、TLS（Transport Layer Security：通信を暗号化して保護する規格）接続の開始や、RouterOSに内蔵されたSSHクライアント機能の使用を控えるよう呼びかけている。これらは関連する広範な脆弱性に対応するための一時的な制限措置であり、ファームウェアのアップデートを代替するものではないと説明されている。
侵害の有無を確認する方法と不審な兆候
MikroTikの仕様では、起動時の自動チェックで不審な設定が検出された場合、システムが機器を「Flagged（フラグ付き）」状態に設定する機能が備わっている。この状態になると、該当する不審なエントリが無効化され、一部の機能が制限される。
管理者はファームウェア更新後、システムログを確認するとともに、コンソールで /system/device-mode/print コマンドを実行して端末の状態を確認することが求められている。システムからの警告が表示されていない場合でも、身に覚えのないユーザーアカウントやスクリプト、意図しない設定変更が存在しないか精査する必要がある。
特に、以下のような兆候が確認された場合は侵害の可能性が高いとして調査が推奨されている。
- 想定外の高度な権限を持つ「ops」アカウントが存在する
- アカウント作成ログの中に
ssh:-2@という文字列が含まれている
侵害が疑われる場合の復旧手順
警告表示やログ、設定内容から不正侵入が疑われる場合、CERT Polskaは以下の4段階の復旧手順を推奨している。証拠の保全と状況の分析が完了する前に「Flagged」ステータスを安易に解除してはならないとしている。
- 機器の隔離と証拠保全: ルーターをネットワークから物理的・論理的に切り離し、初期化を行う前にログや設定ファイルをエクスポートして外部に保存する。
- 工場出荷時への初期化: 機器をリセットして工場出荷時の状態に戻す。侵害を受けた可能性がある機器から取得したフルバックアップファイルは、不正な設定が含まれている恐れがあるためそのまま復元しない。
- 安全な再構築: 事前に検証された安全な設定ファイルやスクリプトを用いて設定を再構築する。
- 認証情報の全面刷新: 管理用パスワード、SSH公開鍵、各種暗号鍵など、利用しているすべての認証情報を新しいものに変更する。
CERT PolskaおよびMikroTikに対しては、メディアによる追加の事実確認が行われている。